SAP Fiori App (Intercompany Balance Reconciliation) 存在跨站请求伪造 (CSRF) 漏洞

攻击者可以利用此 CSRF 漏洞，通过伪造请求，在受影响的 SAP 系统中执行未经授权的操作。例如，攻击者可能能够修改财务数据、更改用户权限或执行其他敏感操作，从而损害系统的完整性。由于该漏洞仅影响完整性，不会影响机密性和可用性，因此其潜在影响相对较低，但仍需重视。攻击者可能通过诱骗用户点击恶意链接或访问恶意网站来触发此漏洞，从而在用户不知情的情况下执行攻击。

Organizations utilizing the SAP Fiori App Intercompany Balance Reconciliation application, particularly those running versions prior to 4.0.1, are at risk. This includes companies with complex intercompany transactions and those relying on accurate financial reporting. Shared hosting environments where multiple tenants share the same SAP instance may also be vulnerable if proper isolation measures are not in place.

• sap: Examine SAP application logs for unusual request patterns, particularly those involving Intercompany Balance Reconciliation functionality. Look for requests originating from unexpected IP addresses or user agents.

zgrep "Intercompany Balance Reconciliation" /var/log/sap/app/<SID>/<instance>/trace.txt

1. 2026-01-13Disclosure

   disclosure

1. 已保留2025-12-09
2. 发布日期2026-01-13
3. EPSS 更新日期2026-03-23

为了缓解 CVE-2026-0493 的风险，建议立即升级 SAP Fiori App (Intercompany Balance Reconciliation) 至 4.0.1 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施，例如实施严格的输入验证和输出编码，以防止恶意请求。此外，建议启用 CSRF 防护机制，例如使用 CSRF token 或其他身份验证技术，以确保只有授权用户才能执行敏感操作。升级后，请验证系统是否已成功应用修复程序，并确认 CSRF 漏洞已得到解决。