CVE-2026-27680

mediumPriorität · verfolgen · 17OT-Risiko · erhöhtEPSS 0.002 · 7. PerzentilDEEUNLUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.17% (7th) EPSS

CVSS 4.3 · medium

Is it mine?

32 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · cert_bund · ncsc_nl

EPSS · bewertet 2026-10-27

Due to improper input handling under certain conditions, SAP NetWeaver Application Server ABAP allows an attacker to inject custom Cascading Style Sheets (CSS) data into a web page served by the application. When a user accesses or clicks the affected page, the injected CSS is executed. As a result, the issue has a low impact on confidentiality, while integrity and availability are not impacted.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

4.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–medium · 3.1–4.3

v3.14.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:Nprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 1.4

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:Nsecondary · ENISA EU

v3.13.1lowCVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:Nsecondary · cna@sap.comAusnutzbarkeit 1.6 · Auswirkung 1.4

v3.14mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-276US

betroffene Produkte (32)

Betroffene Produkte und Versionsbereiche.

SAP Softwarealle Versionencert_bundDEcpe:/a:sap:sap:-
SAP_SE SAP NetWeaver Application Server ABAP≤ SAP_UI 758enisa_euvdEU
SAP_SE SAP NetWeaver Application Server ABAP≤ 816enisa_euvdEU
SAP Business Analytics, Content Management≤ vers:unknown/*ncsc_nlNL
SAP Business Planning and Consolidation and Business Warehouse≤ vers:unknown/*ncsc_nlNL
SAP BusinessObjects Business Intelligence Platform≤ vers:unknown/*ncsc_nlNL
SAP ERP, S4 HANA≤ vers:unknown/*ncsc_nlNL
SAP HANA Cockpit, HANA Database Explorer≤ vers:unknown/*ncsc_nlNL
SAP Human Capital Management for S4HANA≤ vers:unknown/*ncsc_nlNL
SAP S4HANA Backend OData Service≤ vers:unknown/*ncsc_nlNL
SAP S4HANA Frontend OData Service≤ vers:unknown/*ncsc_nlNL
SAP S4HANA OData Service≤ vers:unknown/*ncsc_nlNL
SAP SAP BusinessObjects Business Intelligence Platform≤ vers:unknown/*ncsc_nlNL
SAP SAP NetWeaver Application Server ABAP≤ vers:unknown/*ncsc_nlNL
SAP SAP Software≤ vers:unknown/*ncsc_nlNL
SAP Supplier Relationship Management≤ vers:unknown/*ncsc_nlNL
SAP_SE Material Master Application≤ vers:unknown/*ncsc_nlNL
SAP_SE SAP Business Analytics and SAP Content Management≤ vers:unknown/*ncsc_nlNL
SAP_SE SAP Business Planning and Consolidation and SAP Business Warehouse≤ vers:unknown/*ncsc_nlNL
SAP_SE SAP ERP and SAP S/4 HANA (Private Cloud and On-Premise)≤ vers:unknown/*ncsc_nlNL

20 von 32 angezeigt

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2026-0113Kwetsbaarheden verholpen in SAP-productenNL2026-04-14csaf · ncsc_nlNL
SAP heeft kwetsbaarheden verholpen in verschillende SAP-producten, waaronder SAP Supplier Relationship Management, SAP BusinessObjects Business Intelligence Platform, SAP NetWeaver Application Server Java en ABAP, SAP Landscape Transformation, SAP Business Planning and Consolidation, SAP Business Warehouse, SAP Content Management en SAP Human Capital Management.
WID-SEC-W-2026-1078SAP Patchday April 2026: Mehrere SchwachstellenDeutsch2026-04-13csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in SAP Software ausnutzen, um SQL-Injection durchzuführen, erweiterte Berechtigungen zu erlangen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder andere nicht näher spezifizierte Auswirkungen zu verursachen.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund ncsc_nl NVD CVE.org MITRE

veröffentlicht 2026-05-14geändert 2026-10-26

Referenzen (6)

Externe Belege — Patches, Meldungen, Analysen.

https://nvd.nist.gov/vuln/detail/CVE-2026-27680 cnnvd
https://www.sap.com/index.htmlPatchcnnvd
https://me.sap.com/notes/3665042 enisa_euvd
https://url.sap/sapsecuritypatchday enisa_euvd
https://me.sap.com/notes/3665042Permissions Requirednvd
https://url.sap/sapsecuritypatchdayVendor Advisorynvd

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan