SAP · Commerce Cloud
CVE-2019-0344
SAP Commerce Cloud Deserialization of Untrusted Data Vulnerability
Τι είναι
Due to unsafe deserialization used in SAP Commerce Cloud (virtualjdbc extension), versions 6.4, 6.5, 6.6, 6.7, 1808, 1811, 1905, it is possible to execute arbitrary code on a target machine with 'Hybris' user rights, resulting in Code Injection.
CISA: SAP Commerce Cloud (formerly known as Hybris) contains a deserialization of untrusted data vulnerability within the mediaconversion and virtualjdbc extension that allows for code injection.
Τι να κάνετε
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 21 Οκτωβρίου 2024
Περισσότερα κενά ασφαλείας της SAP που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 15 Μαΐ 2025 | Deserialization | NetWeaver | Κρίσιμη 9,1 | 13% |
| 29 Απρ 2025 | Unrestricted File Upload | NetWeaver | Κρίσιμη 10,0 | 99,5% |
| 19 Μαρ 2025 | Directory Traversal | NetWeaver | Υψηλή 7,5 | 95% |
| 18 Αυγ 2022 | HTTP Request Smuggling | Multiple Products | Κρίσιμη 9,8 | 98% |
| 9 Ιουν 2022 | SQL Injection | NetWeaver | Κρίσιμη 9,8 | 72% |
| 9 Ιουν 2022 | Information Disclosure | NetWeaver | Μέτρια 5,3 | 52% |
| 9 Ιουν 2022 | Unrestricted File Upload | NetWeaver | Κρίσιμη 9,9 | 37% |
| 3 Νοε 2021 | Remote Code Execution | NetWeaver | Κρίσιμη 10,0 | 18% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.