SAP · NetWeaver

CVE-2016-9563

SAP NetWeaver XML External Entity (XXE) Vulnerability

Эксплуатируется в атаках Средняя 6,5 Вероятность атаки: 24%

Что это

BC-BMT-BPM-DSK in SAP NetWeaver AS JAVA 7.5 allows remote authenticated users to conduct XML External Entity (XXE) attacks via the sap.com~tc~bpem~him~uwlconn~provider~web/bpemuwlconn URI, aka SAP Security Note 2296909.

CISA: SAP NetWeaver Application Server Java Platforms contains an unspecified vulnerability in BC-BMT-BPM-DSK which allows remote, authenticated users to conduct XML External Entity (XXE) attacks.

Что делать

Apply updates per vendor instructions.

Срок для федеральных ведомств США: 3 мая 2022 г.

Добавлена в список CISA: 3 ноября 2021 г.
Опубликована: 23 ноября 2016 г.
Серьёзность: Средняя 6,5 CVSS 3.1
Вероятность атак в ближайшие 30 дней (EPSS): 24% в верхних 2,2% всех известных уязвимостей
Тип слабости: CWE-611
Подробнее: NVD · CVE.org · CISA

Все ссылки (3)

Другие эксплуатируемые уязвимости SAP

Добавлено	Уязвимость	Продукт	Серьёзность	Вероятность атаки
15 мая 2025 г.	DeserializationCVE-2025-42999используется вымогателями	NetWeaver	Критическая 9,1	13%
29 апр. 2025 г.	Unrestricted File UploadCVE-2025-31324используется вымогателями	NetWeaver	Критическая 10,0	99,5%
19 мар. 2025 г.	Directory TraversalCVE-2017-12637	NetWeaver	Высокий 7,5	95%
9 июн. 2022 г.	SQL InjectionCVE-2016-2386	NetWeaver	Критическая 9,8	72%
9 июн. 2022 г.	Information DisclosureCVE-2016-2388	NetWeaver	Средняя 5,3	52%
9 июн. 2022 г.	Unrestricted File UploadCVE-2021-38163	NetWeaver	Критическая 9,9	37%
3 нояб. 2021 г.	Remote Code ExecutionCVE-2010-5326	NetWeaver	Критическая 10,0	18%
3 нояб. 2021 г.	Directory TraversalCVE-2016-3976	NetWeaver	Высокий 7,5	47%

Все →

Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.