CVE-2025-24874

mediumPriorität · verfolgen · 0EPSS 0.003 · 25. PerzentilDEEUNL

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.32% (25th) EPSS

CVSS 6.8 · medium

Is it mine?

13 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · cert_bund · ncsc_nl

EPSS · bewertet 2026-10-27

SAP Commerce (Backoffice) uses the deprecated X-FRAME-OPTIONS header to protect against clickjacking. While this protection remains effective now, it may not be the case in the future as browsers might discontinue support for this header in favor of the frame-ancestors CSP directive. Hence, clickjacking could become possible then, and lead to exposure and modification of sensitive information.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

6.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.16.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Nsecondary · ENISA EU

v3.16.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Nsecondary · cna@sap.comAusnutzbarkeit 1.6 · Auswirkung 5.2

v3.16.2mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N/E:Usecondary · CVSS-BT (t0sche)

v3.16.8mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:Nsecondary · NCSC-NL NL

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: no · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-1021USCWE-1021US

betroffene Produkte (13)

Betroffene Produkte und Versionsbereiche.

SAP Softwarealle Versionencert_bundDEcpe:/a:sap:sap:-
SAP_SE SAP Commerce (Backoffice)≤ HY_COM 2205enisa_euvdEU
SAP_SE SAP Commerce (Backoffice)≤ COM_CLOUD 2211enisa_euvdEU
abap_platformalle Versionenncsc_nlNLcpe:2.3:a:sap:abap_platform:758:*:*:*:*:*:*:*
netweaveralle Versionenncsc_nlNLcpe:2.3:a:sap:netweaver:application_server_java:7.50:*:*:*:*:*:*
netweaver_as_javaalle Versionenncsc_nlNLcpe:2.3:a:sap:netweaver_as_java:7.50:*:*:*:*:*:*:*
netweaver_java_application_serveralle Versionenncsc_nlNLcpe:2.3:a:sap:netweaver_java_application_server:7.5:*:*:*:*:*:*:*
netweaver_server_abapalle Versionenncsc_nlNLcpe:2.3:a:sap:netweaver_server_abap:758:*:*:*:*:*:*:*
supplier_relationship_managementalle Versionenncsc_nlNLcpe:2.3:a:sap:supplier_relationship_management:7.52:*:*:*:*:*:*:*
sap commercealle Versionenncsc_nlNLcpe:2.3:a:sap:commerce:*:*:*:*:*:*:*:*
sap commerce backofficealle Versionenncsc_nlNLcpe:2.3:a:sap:commerce_backoffice:*:*:*:*:*:*:*:*
sap netweaver application server javaalle Versionenncsc_nlNLcpe:2.3:a:sap:netweaver_application_server_java:*:*:*:*:*:*:*:*
sap netweaver as java for deploy servicealle Versionenncsc_nlNLcpe:2.3:a:sap:netweaver_as_java_for_deploy_service:*:*:*:*:*:*:*:*

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2025-0045Kwetsbaarheden verholpen in SAP productenNL2025-02-11csaf · ncsc_nlNL
SAP heeft kwetsbaarheden verholpen in onder andere SAP NetWeaver, BusinessObjects Business Intelligence platform, Enterprise Project Connection en Commerce.
WID-SEC-W-2025-0307SAP Patchday Februar 2025: Mehrere SchwachstellenDeutsch2025-02-10csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in der SAP-Software ausnutzen, um erhöhte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting- und Spoofing-Angriffe durchzuführen, Daten zu manipulieren, vertrauliche Informationen preiszugeben und einen Denial-of-Service-Zustand zu verursachen.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund ncsc_nl NVD CVE.org MITRE

veröffentlicht 2025-02-11geändert 2026-06-17

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan