| Title | SAPのSAP Netweaver Application Server ABAPにおけるクロスサイトスクリプティングの脆弱性 |
|---|---|
| Summary | SAP NetWeaver Application Server ABAP（Business Server Pagesに基づくアプリケーション）にはリフレクティッドクロスサイトスクリプティング（XSS）脆弱性が存在します。この脆弱性により、認証されていない攻撃者が保護されていないURLパラメータを悪用したURLを作成し、悪意のあるスクリプトを埋め込む可能性があります。被害者がそのリンクをクリックすると、注入された入力がWebページ生成時に処理され、被害者のブラウザコンテキストで悪意のあるコンテンツが実行されます。これにより攻撃者は情報のアクセスおよび/または改ざんを行うことができ、アプリケーションの機密性と完全性に影響を及ぼしますが、可用性には影響を与えません。 |
| Possible impacts | ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 12, 2026, midnight |
| Registration Date | June 5, 2026, 10:48 a.m. |
| Last Update | June 5, 2026, 10:48 a.m. |
| CVSS3.0 : 警告 | |
| Score | 6.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
| SAP |
| SAP Netweaver Application Server ABAP 700 |
| SAP Netweaver Application Server ABAP 701 |
| SAP Netweaver Application Server ABAP 702 |
| SAP Netweaver Application Server ABAP 731 |
| SAP Netweaver Application Server ABAP 740 |
| SAP Netweaver Application Server ABAP 750 |
| SAP Netweaver Application Server ABAP 751 |
| SAP Netweaver Application Server ABAP 752 |
| SAP Netweaver Application Server ABAP 753 |
| SAP Netweaver Application Server ABAP 754 |
| SAP Netweaver Application Server ABAP 755 |
| SAP Netweaver Application Server ABAP 756 |
| SAP Netweaver Application Server ABAP 757 |
| SAP Netweaver Application Server ABAP 758 |
| SAP Netweaver Application Server ABAP 816 |
| SAP Netweaver Application Server ABAP 918 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月05日] 掲載 |
June 5, 2026, 10:48 a.m. |
| Summary | Due to a reflected cross-site scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (Applications based on Business Server Pages), an unauthenticated attacker could craft a URL that exploits an unprotected URL parameter to embed a malicious script. If a victim clicks the link, the injected input is processed during web page generation, resulting in the execution of malicious content in the victim�s browser context. This could allow the attacker to access and/or modify information, impacting the confidentiality and integrity of the application, with no impact to availability. |
|---|---|
| Publication Date | May 12, 2026, 12:16 p.m. |
| Registration Date | May 13, 2026, 4:11 a.m. |
| Last Update | May 12, 2026, 11:19 p.m. |