SAP Security Patch Day · August 2026

SAP Commerce Cloud ermöglicht es einem unauthentifizierten Angreifer, einen Standard-Authentifizierungsclient zu missbrauchen und speziell gestaltete Eingaben an bestimmte Funktionen ohne ausreichende Validierung zu übermitteln.

Der SAP NetWeaver Anwendungsserver ABAP ermöglicht es einem unauthentifizierten Angreifer, logische Fehler in der DIAG-Protokollanalyse auszunutzen und zu Speicherkorruption zu führen.

SAP Manufacturing Integration and Intelligence (MII) ermöglicht einem Angreifer mit hohen Berechtigungen, speziell gestaltete Eingaben an bestimmte betroffene Funktionen zu übermitteln, die ohne ausreichende Validierung verarbeitet werden.

Die Entwicklungstools für SAP ABAP führen bei bestimmten Funktionen keine notwendigen Berechtigungsprüfungen durch, wodurch ein Angreifer mit geringen Privilegien unautorisierte Datenbankoperationen gegen SAP NetWeaver AS ABAP ausführen kann.

Die SAP BusinessObjects Business Intelligence-Plattform speichert bestimmte sensible Anmeldeinformationen, die mit Benutzerobjekten verknüpft sind, mithilfe eines hartcodierten kryptografischen Schlüssels.

SAP Manufacturing Integration and Intelligence ermöglicht es einem privilegierten Angreifer, eine unzureichende Überprüfung des Dateipfads in bestimmten Funktionen durch speziell gestaltete Eingaben auszunutzen.

SAP S/4HANA (Private Cloud) verwendet eine Drittanbieter-Komponente, die eine Regular Expression Denial of Service (ReDoS)-Anfälligkeit enthält.

Aufgrund einer Schwachstelle durch fehlende Autorisierungsprüfung bei SAP Manufacturing Integration und Intelligence könnte ein unauthentifizierter Angreifer speziell gestaltete Anfragen an den Cost Servlet mit bestimmten Parameterwerten senden.

Aufgrund einer Schwachstelle durch fehlende Autorisierungsprüfung in SAP Manufacturing Integration and Intelligence könnte ein unauthentifizierter Fernangreifer auf planungsbezogene Anwendungsfunktionen zugreifen, ohne eine ordnungsgemäße Autorisierung zu überprüfen.

Der SAP Approuter validiert bestimmte Token-Inhalte unter spezifischen Konfigurationen nicht ausreichend.

Die SAP BusinessObjects Business Intelligence Plattform (Web Intelligence) ermöglicht es einem Angreifer mit geringen Berechtigungen, eine speziell präparierte Tabellenkalkulation hochzuladen, die bösartige externe Verweise enthält.

Der SAP Approuter validiert Client-Zertifikate in bestimmten Callback-Flows nicht korrekt.

Der SAP NetWeaver Anwendungsserver Java (Adobe Document Service) verwendet veraltete Open-Source-Kryptographie- und Datenübertragungsbibliotheken, die bekannte Schwachstellen enthalten, die in späteren Versionen behoben wurden.

Aufgrund einer SQL-Injektionsanfälligkeit in SAP Social Intelligence könnte ein authentifizierter Angreifer direkt eine SQL-DDL (Datenbanksprache) Zeichenfolge in die zugrunde liegende Datenbank injizieren, ohne weitere Autorisierung.

Aufgrund einer Cross-Site Scripting (XSS)-Sicherheitslücke im SAP NetWeaver Application Server ABAP könnte ein authentifizierter Angreifer einen bösartigen Link generieren und öffentlich zugänglich machen.

SAPUI5 ermöglicht es einem Schlüsselbenutzer mit Anpassungsrechten für Inhalt, bösartigen Skriptinhalt in gespeicherte Anwendungsänderungen einzufügen.

Der WebSocket des SAP Approuters führt bei bestimmten Funktionen keine ausreichenden Autorisierungsprüfungen durch.

Der SAP Approuter behandelt bestimmte Anfragen unter spezifischen Bedingungen nicht ausreichend.

Der SAP Approuter erzwingt die Integritätsüberprüfung auf bestimmte anfragenbezogene Sitzungsheader nicht konsistent unter speziellen Bedingungen.

Der SAP Approuter validiert bestimmte eingehende Anfragen nicht ausreichend, bevor sie an die Backend-Ziele weitergeleitet werden.

Der SAP NetWeaver Anwendungsserver ABAP und die ABAP-Plattform ermöglichen einem Angreifer mit hohen Berechtigungen das Umgehen fehlender Sicherheitskontrollen auf einem internen Codepfad, der zur Ausführung von Befehlen des Betriebssystems führt.

Der SAP SAPSPrint Service weist Schwachstellen bezüglich Speicherkorruption bei der Verarbeitung bestimmter Befehle auf.

Die SAP ABAP-Plattform ermöglicht es einem nicht authentifizierten Benutzer, eine speziell gestaltete Anfrage an einen internen Komponenten zu senden.

Der SAP Approuter bereinigt bestimmte Anforderungsheader nicht ausreichend, bevor er den Datenverkehr an interne Komponenten weiterleitet.

SAP Manufacturing Integration and Intelligence (MII) führt bei bestimmten Anwendungsfunktionen keine notwendige Berechtigungsprüfung durch, wodurch ein authentifizierter Angreifer mit geringen Privilegien auf Informationen zugreifen kann, die nur privilegierten Benutzern vorbehalten sein sollten.

Der SAP Approuter erzwingt nicht ausreichendes Flusskontrollen bei bestimmten Funktionen.

Die Neubearbeitung von Bankauszugspositionen in SAP S/4HANA führt nicht die erforderlichen Berechtigungsprüfungen für authentifizierte Benutzer durch, wodurch es ihnen ermöglicht wird, Regeln zu verwenden, die ihnen nicht zugewiesen wurden, was zu einer Erhöhung der Privilegien führt.

Die SAP BusinessObjects Business Intelligence Platform (Admin Tools) führt keine ausreichende Autorisierungsprüfung bei bestimmten administrativen Funktionen durch.

Der SAP Approuter erzwingt standardmäßig keinen Schutz vor Cross-Site Request Forgery im Authentifizierungsfluss.

SAP NetWeaver und ABAP-Plattform (Änderungs- und Transportmanagement - Kunden-Transportintegrations-Assistent) ermöglicht es einem Benutzer mit geringen Berechtigungen, Konfigurationstabellen zu ändern, die den Zugriff auf Datenobjekte während bestimmter Operationen steuern.

SAP Advanced Planning and Optimization (Modell-Mix-Planung) enthält ein hartkodiertes Anmeldeinformationen im Quellcode der Anwendung zur Autorisierungsprüfung zum Zugriff auf bestimmte Funktionen in der Anwendung.

Die SAP Data Services Management Console erlaubt eine zu permissive Konfiguration der Content Security Policy (CSP) und fehlt an bestimmten restriktiven Direktiven.

Der SAP Approuter validiert den Mandantenkontext bei eingehenden Anfragen nicht ausreichend.

Der SAP Approuter behandelt bestimmte Fehlerbedingungen nicht konsistent.