Plateforme
sap
Composant
sap-fiori-app-intercompany-balance-reconciliation
Corrigé dans
70.0.1
600.0.1
700.0.1
800.0.1
900.0.1
901.0.1
902.0.1
4.0.1
103.0.1
104.0.1
105.0.1
106.0.1
107.0.1
108.0.1
109.0.1
4.0.1
Une vulnérabilité de type Cross-Site Request Forgery (CSRF) a été découverte dans l'application SAP Fiori Intercompany Balance Reconciliation. Cette faille permet à un attaquant d'exécuter des actions modifiant l'état du système en utilisant une requête de type inapproprié, ce qui peut entraîner des actions non intentionnelles au nom d'un utilisateur authentifié. Les versions affectées sont celles inférieures ou égales à UIS4H 109. La correction est disponible dans la version 4.0.1.
La vulnérabilité CSRF exploite le fait que les requêtes HTTP ne vérifient pas l'origine de la demande. Un attaquant peut créer une requête malveillante, par exemple un lien ou un formulaire, et l'inciter à être exécutée par un utilisateur authentifié de l'application SAP Fiori Intercompany Balance Reconciliation. Si l'utilisateur est connecté et clique sur ce lien ou soumet le formulaire, l'attaquant peut potentiellement modifier des données, effectuer des transferts non autorisés ou effectuer d'autres actions sensibles au nom de l'utilisateur. L'impact principal est sur l'intégrité du système, car des modifications non autorisées peuvent être apportées aux données. La confidentialité et la disponibilité ne sont pas directement compromises.
Cette vulnérabilité a été publiée le 13 janvier 2026. Il n'y a pas d'informations disponibles concernant son ajout au KEV de CISA ou l'existence de preuves de concept publiques. La probabilité d'exploitation est considérée comme faible en l'absence de PoC et d'exploitation active signalée.
Organizations utilizing the SAP Fiori App Intercompany Balance Reconciliation application, particularly those running versions prior to 4.0.1, are at risk. This includes companies with complex intercompany transactions and those relying on accurate financial reporting. Shared hosting environments where multiple tenants share the same SAP instance may also be vulnerable if proper isolation measures are not in place.
• sap: Examine SAP application logs for unusual request patterns, particularly those involving Intercompany Balance Reconciliation functionality. Look for requests originating from unexpected IP addresses or user agents.
zgrep "Intercompany Balance Reconciliation" /var/log/sap/app/<SID>/<instance>/trace.txtdisclosure
Statut de l'Exploit
EPSS
0.02% (percentile 6%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à appliquer la correction fournie par SAP en mettant à jour l'application SAP Fiori Intercompany Balance Reconciliation vers la version 4.0.1 ou supérieure. En attendant la mise à jour, il est possible de renforcer la sécurité en implémentant des mesures de protection CSRF supplémentaires, telles que l'utilisation de tokens CSRF pour chaque requête sensible. Il est également recommandé de sensibiliser les utilisateurs aux risques liés aux liens et aux formulaires suspects. Vérifiez après la mise à jour que les tokens CSRF sont correctement générés et validés pour chaque requête modifiant l'état du système.
Appliquez la note de sécurité SAP 3655229 pour corriger la vulnérabilité CSRF. Consultez la documentation SAP pour obtenir des instructions détaillées sur la façon d'appliquer des correctifs et des mises à jour de sécurité dans votre environnement SAP Fiori.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-0493 est une vulnérabilité CSRF dans l'application SAP Fiori Intercompany Balance Reconciliation, permettant à un attaquant d'exécuter des actions non autorisées.
Oui, si vous utilisez une version de SAP Fiori App Intercompany Balance Reconciliation inférieure ou égale à UIS4H 109, vous êtes affecté.
Mettez à jour l'application vers la version 4.0.1 ou supérieure. En attendant, implémentez des protections CSRF supplémentaires.
À l'heure actuelle, il n'y a aucune indication d'exploitation active de CVE-2026-0493.
Consultez l'avis de sécurité SAP correspondant à CVE-2026-0493 sur le site web de SAP Security Notes.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.