SAP_SE SAP NetWeaver Knowledge Management (XML Forms)
SAP NetWeaver Knowledge Management (XML Forms): trasformazioni XSL non autorizzate
Il problema, secondo i dati ufficiali
- SAP NetWeaver Knowledge Management (XML Forms) non limita in modo sufficiente la scelta delle trasformazioni XSL elaborate dalla funzione coinvolta. Un utente può quindi far elaborare una trasformazione XSL non autorizzata, e questo potrebbe portare all'esecuzione di codice arbitrario nel contesto dell'applicazione.
- Può sfruttarla un utente autenticato con accesso alla funzione coinvolta, in certe condizioni; secondo il punteggio ufficiale basta un account qualsiasi, anche con pochi permessi, e l'attacco avviene via rete.
- Uno sfruttamento riuscito può compromettere riservatezza, integrità e disponibilità dell'applicazione.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Ne parlano
- SAP Security Patch Day — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP NetWeaver Knowledge Management (XML Forms) does not sufficiently restrict the selection of XSL transformations processed by the affected functionality. Under certain conditions, an authenticated user with access to the affected functionality could cause an unauthorized XSL transformation to be processed, potentially leading to arbitrary code execution in the application context. Successful exploitation could impact the confidentiality, integrity, and availability of the application.
Non sai se ti riguarda?
Se usi SAP_SE SAP NetWeaver Knowledge Management (XML Forms) e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 10 novembre 2026. Prima di intervenire verifica l'avviso del produttore.