SAP · NetWeaver

CVE-2016-9563

SAP NetWeaver XML External Entity (XXE) Vulnerability

Explotada en ataques Media 6,5 Probabilidad de ataque: 24%

Qué es

BC-BMT-BPM-DSK in SAP NetWeaver AS JAVA 7.5 allows remote authenticated users to conduct XML External Entity (XXE) attacks via the sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn URI, aka SAP Security Note 2296909.

CISA: SAP NetWeaver Application Server Java Platforms contains an unspecified vulnerability in BC-BMT-BPM-DSK which allows remote, authenticated users to conduct XML External Entity (XXE) attacks.

Qué hacer

Apply updates per vendor instructions.

Plazo para las agencias federales de EE. UU.: 3 de mayo de 2022

Añadida a la lista de CISA: 3 de noviembre de 2021
Publicada: 23 de noviembre de 2016
Gravedad: Media 6,5 CVSS 3.1
Probabilidad de ataques en los próximos 30 días (EPSS): 24% entre el 2,2% superior de todas las vulnerabilidades conocidas
Debilidad: CWE-611
Más detalles: NVD · CVE.org · CISA

Todas las referencias (3)

Más fallos explotados de SAP

Añadido	Vulnerabilidad	Producto	Gravedad	Prob. de ataque
15 may 2025	DeserializationCVE-2025-42999usado por ransomware	NetWeaver	Crítica 9,1	13%
29 abr 2025	Unrestricted File UploadCVE-2025-31324usado por ransomware	NetWeaver	Crítica 10,0	99,5%
19 mar 2025	Directory TraversalCVE-2017-12637	NetWeaver	Alto 7,5	95%
9 jun 2022	SQL InjectionCVE-2016-2386	NetWeaver	Crítica 9,8	72%
9 jun 2022	Information DisclosureCVE-2016-2388	NetWeaver	Media 5,3	52%
9 jun 2022	Unrestricted File UploadCVE-2021-38163	NetWeaver	Crítica 9,9	37%
3 nov 2021	Remote Code ExecutionCVE-2010-5326	NetWeaver	Crítica 10,0	18%
3 nov 2021	Directory TraversalCVE-2016-3976	NetWeaver	Alto 7,5	47%

Todas →

Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.