SAP NetWeaver Knowledge Management (XML Forms): Code-Injection kann zu beliebiger Codeausführung führen (CVE-2026-109803)

Was passiert ist

SAP NetWeaver Knowledge Management (XML Forms) schränkt nicht ausreichend ein, welche XSL-Transformationen von der betroffenen Funktion ausgewählt und verarbeitet werden können. Ein bereits authentifizierter Angreifer, der Zugriff auf die Funktion hat, kann erreichen, dass eine nicht autorisierte XSL-Transformation verarbeitet wird. Unter bestimmten Bedingungen kann dies zu beliebiger Codeausführung im Anwendungskontext führen und sich unmittelbar auf Vertraulichkeit, Integrität und Verfügbarkeit auswirken. Die Schwachstelle ist als CWE-94, Code-Injection, klassifiziert.

Die CVSS-3.1-Bewertung beträgt 9,9 (kritisch). Die Schwachstelle ist über das Netzwerk erreichbar, erfordert lediglich einen authentifizierten Benutzer mit geringen Rechten und keine Benutzerinteraktion und weist einen veränderten Scope auf. Das bedeutet, dass die Ausnutzung von der unmittelbar betroffenen Komponente auf die weitere Anwendungsumgebung übergreifen kann und nicht auf die gefährdete Funktion beschränkt bleibt.

Der CVE-Eintrag enthält keinen Hinweis darauf, dass die Schwachstelle öffentlich bekannt gemacht oder ausgenutzt wurde.

Wer betroffen ist

Betroffen ist das aufgeführte Produkt SAP NetWeaver Knowledge Management (XML Forms), Version KMC-CM 7.50. Im CVE-Eintrag sind keine weiteren betroffenen Versionen aufgeführt. Die Gefährdung ist vor allem dort relevant, wo die Funktion XML Forms für authentifizierte Benutzer verfügbar ist. Unternehmen sollten prüfen, ob die Komponente in ihrer Systemlandschaft vorhanden ist, und nachvollziehen, welche Rollen darauf zugreifen können.

Was jetzt zu tun ist

1. Stellen Sie fest, ob KMC-CM 7.50 und die Komponente XML Forms vorhanden sind, und ermitteln Sie, welche Benutzer oder Rollen darauf zugreifen können.
2. Schränken Sie den Zugriff auf die betroffene Funktion auf die kleinste Gruppe vertrauenswürdiger Benutzer ein und entfernen Sie sie nach Möglichkeit aus jeder extern erreichbaren Anwendung.
3. Noch ist kein korrigiertes Release und kein Workaround des Herstellers aufgeführt. Beobachten Sie die Seite zum SAP Security Patch Day und den mit dieser Seite verknüpften SAP-Hinweis; wenden Sie die Empfehlungen des Herstellers an, sobald sie vorliegen.
4. Überprüfen Sie die Berechtigungen und den Zugriff auf die betroffene Funktion, solange die Gefährdung fortbesteht.

Über den Patch hinaus

Da die Schwachstelle über das Netzwerk erreichbar ist, aber eine authentifizierte Sitzung erfordert, ist die Überprüfung der Zugriffsrechte die unmittelbare Sicherheitsmaßnahme. Die Codeausführung, die darauf folgen kann, ist Aktivität nach einer erfolgten Ausnutzung, auf die Managed Detection and Response (MDR) gezielt achtet. Mit Implementierungs- und Bewertungsleistungen lassen sich die XML-Forms-Angriffsfläche testen und härten. Mit SAP-HANA-Sicherheit und Cloud-Migration lässt sich das umgebende SAP-Berechtigungsmodell überprüfen, damit weniger Rollen auf die Komponente zugreifen können.