SAP_SE SAP Web Dispatcher e Internet Communication Manager
SAP Web Dispatcher e Internet Communication Manager: link malevolo contro un amministratore
Il problema, secondo i dati ufficiali
- SAP Web Dispatcher e SAP NetWeaver Application Server ABAP (Internet Communication Manager) non validano a sufficienza le richieste in alcune funzioni amministrative.
- Un attaccante non autenticato può indurre un amministratore connesso a visitare un link malevolo, che può causare azioni non volute nella sessione dell'amministratore.
- Lo sfruttamento riuscito potrebbe portare alla compromissione completa del sistema operativo sottostante, con impatto alto su riservatezza, integrità e disponibilità.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
Versioni interessate
- SAP Web Dispatcher e Internet Communication Manager: 9.16; 9.20; 9.21
Ne parlano
- SAP Security Patch Day — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- me.sap.com — riferimento
- url.sap — riferimento
Descrizione ufficiale (in inglese)
SAP Web Dispatcher and SAP NetWeaver Application Server ABAP (Internet Communication Manager) do not perform sufficient request validation in certain administrative functionality. In the context of Application Server ABAP and SAP Web Dispatcher, an unauthenticated attacker could trick a logged-on administrator into visiting a malicious link. Visiting the link could cause unintended actions in the administrator's session. Successful exploitation could lead to a full compromise of the underlying operating system, resulting in a high impact on confidentiality, integrity, and availability.
Non sai se ti riguarda?
Se usi SAP_SE SAP Web Dispatcher e Internet Communication Manager e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.