SAP · NetWeaver

CVE-2016-9563

SAP NetWeaver XML External Entity (XXE) Vulnerability

مورد سوءاستفاده در حملات متوسط ۶٫۵ احتمال حمله: ۲۴%

اشتراک‌گذاری

چیست

BC-BMT-BPM-DSK in SAP NetWeaver AS JAVA 7.5 allows remote authenticated users to conduct XML External Entity (XXE) attacks via the sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn URI, aka SAP Security Note 2296909.

CISA: SAP NetWeaver Application Server Java Platforms contains an unspecified vulnerability in BC-BMT-BPM-DSK which allows remote, authenticated users to conduct XML External Entity (XXE) attacks.

چه باید کرد

Apply updates per vendor instructions.

مهلت برای نهادهای فدرال آمریکا: ۳ مهٔ ۲۰۲۲

افزوده‌شده به فهرست CISA: ۳ نوامبر ۲۰۲۱
منتشرشده: ۲۳ نوامبر ۲۰۱۶
شدت: متوسط ۶٫۵ CVSS 3.1
احتمال حمله در ۳۰ روز آینده (EPSS): ۲۴% در ۲٫۲% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
نوع ضعف: CWE-611
جزئیات بیشتر: NVD · CVE.org · CISA

همهٔ منابع (3)

آسیب‌پذیری‌های دیگر SAP که مورد سوءاستفاده‌اند

افزوده‌شده	آسیب‌پذیری	محصول	شدت	احتمال حمله
۱۵ مه ۲۰۲۵	DeserializationCVE-2025-42999مورد استفادهٔ باج‌افزارها	NetWeaver	بحرانی ۹٫۱	۱۳%
۲۹ آوریل ۲۰۲۵	Unrestricted File UploadCVE-2025-31324مورد استفادهٔ باج‌افزارها	NetWeaver	بحرانی ۱۰٫۰	۹۹٫۵%
۱۹ مارس ۲۰۲۵	Directory TraversalCVE-2017-12637	NetWeaver	بالا ۷٫۵	۹۵%
۹ ژوئن ۲۰۲۲	SQL InjectionCVE-2016-2386	NetWeaver	بحرانی ۹٫۸	۷۲%
۹ ژوئن ۲۰۲۲	Information DisclosureCVE-2016-2388	NetWeaver	متوسط ۵٫۳	۵۲%
۹ ژوئن ۲۰۲۲	Unrestricted File UploadCVE-2021-38163	NetWeaver	بحرانی ۹٫۹	۳۷%
۳ نوامبر ۲۰۲۱	Remote Code ExecutionCVE-2010-5326	NetWeaver	بحرانی ۱۰٫۰	۱۸%
۳ نوامبر ۲۰۲۱	Directory TraversalCVE-2016-3976	NetWeaver	بالا ۷٫۵	۴۷%

همه →

منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.