Vulnerabilidade de Injeção de Código em SAP NetWeaver Application Server Java (Web Dynpro Java)

A exploração bem-sucedida desta vulnerabilidade pode resultar em comprometimento de sessões de usuário e execução de código arbitrário no navegador da vítima. Isso significa que um atacante pode potencialmente obter acesso não autorizado a dados sensíveis, manipular funcionalidades da aplicação e até mesmo realizar ações em nome do usuário comprometido. O impacto na confidencialidade e integridade dos dados é significativo, com potencial para causar danos consideráveis à organização. A ausência de impacto na disponibilidade não diminui a gravidade da vulnerabilidade, pois a perda de confidencialidade e integridade pode ter consequências graves.

Organizations heavily reliant on SAP NetWeaver Application Server Java (Web Dynpro Java) for critical business processes are at significant risk. Specifically, deployments using the affected version 7.50–WD-RUNTIME 7.50 are immediately vulnerable. Environments with weak input validation practices or lacking WAF protection are particularly susceptible to exploitation.

• java / server:

# Check for suspicious user input handling in Web Dynpro Java code
grep -r 'userInput.toString()' /path/to/application/code

• generic web:

# Monitor access logs for unusual requests containing potentially malicious input
 grep -i 'script' /var/log/apache2/access.log

1. 2026-04-14Disclosure

   disclosure

1. Reservado2026-02-23
2. Publicada2026-04-14
3. Modificada2026-04-15
4. EPSS atualizado2026-04-21

A SAP recomenda a aplicação imediata da correção oficial disponível. Enquanto a correção não é aplicada, medidas de mitigação podem ser implementadas para reduzir o risco de exploração. Isso inclui a validação rigorosa de todas as entradas de usuário, a implementação de políticas de segurança de conteúdo (CSP) para restringir a execução de scripts não confiáveis e o monitoramento contínuo dos logs de aplicação em busca de atividades suspeitas. A configuração de um Web Application Firewall (WAF) com regras específicas para detectar e bloquear tentativas de injeção de código também pode ser eficaz.