SAP · Customer Relationship Management (CRM)
CVE-2018-2380
SAP Customer Relationship Management (CRM) Path Traversal Vulnerability
De quoi s'agit-il
SAP CRM, 7.01, 7.02,7.30, 7.31, 7.33, 7.54, allows an attacker to exploit insufficient validation of path information provided by users, thus characters representing "traverse to parent directory" are passed through to the file APIs.
CISA: SAP Customer Relationship Management (CRM) contains a path traversal vulnerability that allows an attacker to exploit insufficient validation of path information provided by users.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 3 mai 2022
Autres failles exploitées chez SAP
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 15 mai 2025 | Deserialization | NetWeaver | Critique 9,1 | 13% |
| 29 avr. 2025 | Unrestricted File Upload | NetWeaver | Critique 10,0 | 99,5% |
| 19 mars 2025 | Directory Traversal | NetWeaver | Élevé 7,5 | 95% |
| 30 sept. 2024 | Deserialization of Untrusted Data | Commerce Cloud | Critique 9,8 | 7,5% |
| 18 août 2022 | HTTP Request Smuggling | Multiple Products | Critique 9,8 | 98% |
| 9 juin 2022 | SQL Injection | NetWeaver | Critique 9,8 | 72% |
| 9 juin 2022 | Information Disclosure | NetWeaver | Moyenne 5,3 | 52% |
| 9 juin 2022 | Unrestricted File Upload | NetWeaver | Critique 9,9 | 37% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.