CVE-2025-27435

mediumPriorität · verfolgen · 0OT-Risiko · erhöhtEPSS 0.002 · 14. PerzentilDEEUNLRU

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.23% (14th) EPSS

CVSS 4.2 · medium

Is it mine?

160 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

Under specific conditions and prerequisites, an unauthenticated attacker could access customer coupon codes exposed in the URL parameters of the Coupon Campaign URL in SAP Commerce. This could allow the attacker to use the disclosed coupon code, hence posing a low impact on confidentiality and integrity of the application.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

4.2

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–medium · 3.9–4.2

v3.14.2mediumAV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:Nsecondary · FSTEC (BDU) RU

v3.14.2mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:Nsecondary · ENISA EU

v3.14.2mediumCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:Nsecondary · cna@sap.comAusnutzbarkeit 1.6 · Auswirkung 2.5

v3.13.9lowCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-862USCWE-862USCWE-862US

betroffene Produkte (160)

Betroffene Produkte und Versionsbereiche.

SAP Softwarealle Versionencert_bundDEcpe:/a:sap:sap:-
SAP_SE SAP Commerce Cloud≤ HY_COM 2205enisa_euvdEU
SAP_SE SAP Commerce Cloud≤ COM_CLOUD 2211enisa_euvdEU
SAP SAP Commerce Cloud≤ HY_COM 2205fstec_bduRU
SAP SAP Commerce Cloud≤ COM_CLOUD 2211fstec_bduRU
ATOSS Staff Efficiency Suite≤ vers:unknown/unknownncsc_nlNLcpe:/a:atoss:staff_efficiency_suite:-
Amazon Linux 2≤ vers:unknown/unknownncsc_nlNLcpe:/o:amazon:linux_2:-
BusinessObjects Financial Consolidation≤ vers:unknown/10.0ncsc_nlNLcpe:2.3:a:sap:sap_businessobjects_financial_consolidation:10.0:*:*:*:*:*:*:*
BusinessObjects Financial Consolidation≤ vers:unknown/10.1ncsc_nlNLcpe:2.3:a:sap:sap_businessobjects_financial_consolidation:10.1:*:*:*:*:*:*:*
ERP Financials Information System≤ vers:unknown/2.00ncsc_nlNLcpe:2.3:a:sap_se:sap_erp_financials_information_system:2.00:*:*:*:*:*:*:*
Netweaver System Landscape Directory≤ vers:unknown/7.5ncsc_nlNLcpe:2.3:a:sap:netweaver_system_landscape_directory:7.5:*:*:*:*:*:*:*
financial_consolidation≤ vers:unknown/1010ncsc_nlNLcpe:2.3:a:sap:financial_consolidation:1010:*:*:*:*:*:*:*
landscape_management≤ vers:unknown/3.0ncsc_nlNLcpe:2.3:a:sap:landscape_management:3.0:*:*:*:*:*:*:*
Apache Tomcat≤ vers:unknown/10.1.1ncsc_nlNL
Apache Tomcat≤ vers:unknown/>=10.1.0 milestone1|<=10.1.33ncsc_nlNL
Apache Tomcat≤ vers:unknown/>=11.0.0 milestone1|<=11.0.1ncsc_nlNL
Apache Tomcat≤ vers:unknown/10.1.15ncsc_nlNL
Apache Tomcat≤ vers:unknown/<9.0.98ncsc_nlNL
Apache Tomcat≤ vers:unknown/<10.1.34ncsc_nlNL
Apache Tomcat≤ vers:unknown/<11.0.2ncsc_nlNL

20 von 160 angezeigt

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2025-0119Kwetsbaarheden verholpen in SAP-productenNL2025-04-09csaf · ncsc_nlNL
SAP heeft kwetsbaarheden verholpen in verschillende producten, waaronder SAP Financial Consolidation, SAP Landscape Transformation, SAP NetWeaver Application Server ABAP, SAP Commerce Cloud, SAP ERP BW, SAP BusinessObjects Business Intelligence Platform, SAP KMC WPC, SAP Solution Manager, SAP S4CORE, en SAP CRM.
WID-SEC-W-2025-0719SAP Patchday April 2025: Mehrere SchwachstellenDeutsch2025-04-07csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in SAP Software ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen, Daten zu manipulieren, vertrauliche Informationen preiszugeben und einen Denial-of-Service-Zustand zu verursachen.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund ncsc_nl NVD CVE.org MITRE

veröffentlicht 2025-04-08geändert 2026-06-17

Referenzen (9)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan