SAP · NetWeaver
CVE-2021-38163
SAP NetWeaver Unrestricted File Upload Vulnerability
De quoi s'agit-il
SAP NetWeaver (Visual Composer 7.0 RT) versions - 7.30, 7.31, 7.40, 7.50, without restriction, an attacker authenticated as a non-administrative user can upload a malicious file over a network and trigger its processing, which is capable of running operating system commands with the privilege of the Java Server process. These commands can be used to read or modify any information on the server or shut the server down making it unavailable.
CISA: SAP NetWeaver contains a vulnerability that allows unrestricted file upload.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 30 juin 2022
Autres failles exploitées chez SAP
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 15 mai 2025 | Deserialization | NetWeaver | Critique 9,1 | 13% |
| 29 avr. 2025 | Unrestricted File Upload | NetWeaver | Critique 10,0 | 99,5% |
| 19 mars 2025 | Directory Traversal | NetWeaver | Élevé 7,5 | 95% |
| 9 juin 2022 | SQL Injection | NetWeaver | Critique 9,8 | 72% |
| 9 juin 2022 | Information Disclosure | NetWeaver | Moyenne 5,3 | 52% |
| 3 nov. 2021 | Remote Code Execution | NetWeaver | Critique 10,0 | 18% |
| 3 nov. 2021 | Directory Traversal | NetWeaver | Élevé 7,5 | 47% |
| 3 nov. 2021 | XML External Entity (XXE) | NetWeaver | Moyenne 6,5 | 24% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.