Vulnerabilidade de Cross-Site Request Forgery (CSRF) em SAP Fiori App (Conciliação de Saldos Intercompanhia)
Plataforma
sap
Componente
sap-fiori-app-intercompany-balance-reconciliation
Corrigido em
70.0.1
600.0.1
700.0.1
800.0.1
900.0.1
901.0.1
902.0.1
4.0.1
103.0.1
104.0.1
105.0.1
106.0.1
107.0.1
108.0.1
109.0.1
4.0.1
A vulnerabilidade CVE-2026-0493 é uma falha de Cross-Site Request Forgery (CSRF) identificada no SAP Fiori App Intercompany Balance Reconciliation. Essa falha permite que um atacante execute ações que alteram o estado do sistema, explorando a diferença entre o tipo de solicitação esperado e o recebido. As versões afetadas são aquelas anteriores ou iguais a UIS4H 109. A correção para esta vulnerabilidade está disponível na versão 4.0.1.
Impacto e Cenários de Ataque
Um atacante que explore com sucesso a vulnerabilidade CSRF no SAP Fiori App Intercompany Balance Reconciliation pode induzir um usuário autenticado a executar ações não intencionais. Isso pode incluir modificações em dados financeiros, aprovações indevidas ou outras operações que comprometam a integridade do sistema. O impacto primário é na integridade dos dados, embora a confidencialidade e a disponibilidade não sejam diretamente afetadas. A exploração bem-sucedida pode levar a erros contábeis, fraudes ou outras atividades maliciosas, dependendo das permissões do usuário comprometido.
Contexto de Exploração
A vulnerabilidade CVE-2026-0493 foi publicada em 13 de janeiro de 2026. Não há informações disponíveis sobre exploração ativa ou a existência de provas de conceito (PoCs) públicas no momento da publicação. A vulnerabilidade foi adicionada ao catálogo KEV da CISA, indicando uma probabilidade média de exploração. Monitore as fontes de inteligência de ameaças para atualizações sobre a exploração desta vulnerabilidade.
Quem Está em Riscotraduzindo…
Organizations utilizing the SAP Fiori App Intercompany Balance Reconciliation application, particularly those running versions prior to 4.0.1, are at risk. This includes companies with complex intercompany transactions and those relying on accurate financial reporting. Shared hosting environments where multiple tenants share the same SAP instance may also be vulnerable if proper isolation measures are not in place.
Passos de Detecçãotraduzindo…
• sap: Examine SAP application logs for unusual request patterns, particularly those involving Intercompany Balance Reconciliation functionality. Look for requests originating from unexpected IP addresses or user agents.
zgrep "Intercompany Balance Reconciliation" /var/log/sap/app/<SID>/<instance>/trace.txtLinha do Tempo do Ataque
- Disclosure
disclosure
Inteligência de Ameaças
Status do Exploit
EPSS
0.02% (percentil 6%)
CISA SSVC
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Nenhum — sem impacto na confidencialidade.
- Integrity
- Baixo — o atacante pode modificar alguns dados com alcance limitado.
- Availability
- Nenhum — sem impacto na disponibilidade.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
- EPSS atualizado
Mitigação e Soluções Alternativas
A mitigação primária para CVE-2026-0493 é a atualização para a versão 4.0.1 do SAP Fiori App Intercompany Balance Reconciliation. Se a atualização imediata não for possível, considere implementar controles de segurança adicionais, como a validação rigorosa de todas as solicitações de entrada e a aplicação de políticas de segurança de conteúdo (CSP) para restringir as fontes de scripts permitidas. Implementar autenticação multifator (MFA) para usuários com acesso a funcionalidades críticas também pode reduzir o risco de exploração. Após a atualização, confirme a correção verificando se as solicitações CSRF são devidamente protegidas.
Como corrigir
Aplique a nota de segurança SAP 3655229 para corrigir a vulnerabilidade CSRF. Consulte a documentação da SAP para obter instruções detalhadas sobre como aplicar patches e atualizações de segurança em seu ambiente SAP Fiori.
Boletim de Segurança CVE
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Perguntas frequentes
O que é CVE-2026-0493 — CSRF em SAP Fiori App Intercompany Balance?
CVE-2026-0493 é uma vulnerabilidade CSRF no SAP Fiori App Intercompany Balance Reconciliation que permite a execução de ações não autorizadas, impactando a integridade do sistema.
Estou afetado pelo CVE-2026-0493 em SAP Fiori App Intercompany Balance?
Sim, se você estiver utilizando uma versão do SAP Fiori App Intercompany Balance Reconciliation anterior ou igual a UIS4H 109, você está potencialmente afetado.
Como corrigir CVE-2026-0493 em SAP Fiori App Intercompany Balance?
A correção é atualizar para a versão 4.0.1 do SAP Fiori App Intercompany Balance Reconciliation. Implemente controles de segurança adicionais se a atualização imediata não for possível.
CVE-2026-0493 está sendo ativamente explorado?
Não há informações disponíveis sobre exploração ativa no momento da publicação, mas a vulnerabilidade foi adicionada ao catálogo KEV da CISA, indicando uma probabilidade média de exploração.
Onde posso encontrar o advisory oficial do SAP para CVE-2026-0493?
Consulte o site de segurança da SAP para obter informações detalhadas e o advisory oficial: [https://www.sap.com/security/bulletins.html](https://www.sap.com/security/bulletins.html)
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.