SAP publicó sap-cloud-sdk 0.45.2 el 13 de octubre de 2026 para corregir una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) de máxima gravedad, que puede exponer las credenciales de cliente OAuth2 de las aplicaciones multiinquilino de SAP Business Technology Platform.
La falla, identificada como CVE-2026-89111 y GHSA-4mv3-jxxm-9cx2, afecta a todas las versiones del SAP Cloud SDK para Python anteriores a la 0.45.2. SAP publicó su aviso de seguridad en GitHub el 13 de octubre de 2026 y acreditó a SunandM el hallazgo del problema.
Los datos de inquilino controlados por un atacante pueden redirigir las solicitudes de token
CVE-2026-89111 es una vulnerabilidad SSRF en OAuth2 clasificada como CWE-918. Surge cuando un atacante puede controlar el parámetro tenant_subdomain que utiliza una aplicación BTP multiinquilino.
El SDK vulnerable puede sustituir ese valor en la URL usada para una solicitud de token OAuth2. Por tanto, un valor malicioso puede dirigir la solicitud a un servidor controlado por el atacante, lo que expone las credenciales de cliente enviadas durante el intercambio.
El vector CVSS v3.1 de SAP es:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Describe un ataque accesible desde la red que no requiere privilegios ni interacción del usuario. La evaluación CNA de SAP, que también muestra GitHub, asigna una puntuación crítica de 10,0, con un alto impacto en la confidencialidad y la integridad, pero sin impacto en la disponibilidad. El registro del NVD aún no contenía una puntuación NIST independiente el 13 de octubre de 2026.
Actualizar a sap-cloud-sdk 0.45.2
Las organizaciones que ejecutan aplicaciones BTP afectadas deben actualizar el paquete de Python a la versión 0.45.2 o posterior. La versión corregida comprueba tenant_subdomain según los requisitos de las etiquetas DNS de la RFC 1123 antes de insertarlo en una URL de token.
Cuando no sea posible una actualización inmediata, SAP recomienda que las aplicaciones consumidoras validen tenant_subdomain contra una lista de permitidos con los subdominios de inquilino registrados. Esa comprobación debe realizarse antes de pasar el valor a cualquier llamada del SDK.
Los equipos deben tener en cuenta las aplicaciones desplegadas y las dependencias fijadas, y no limitarse a revisar los entornos de desarrollo: cualquier aplicación que ejecute sap-cloud-sdk anterior a 0.45.2 sigue dentro del rango afectado.
Otras dos vulnerabilidades críticas corregidas en la publicación de octubre de SAP
La publicación de seguridad de SAP del 13 de octubre de 2026 cubre 20 vulnerabilidades en sus productos. Otras dos vulnerabilidades críticas conllevan riesgos significativos de compromiso del sistema:
- CVE-2026-89110 es una vulnerabilidad de control de acceso defectuoso en SAP NetWeaver Visual Composer. Un atacante con pocos privilegios puede invocar operaciones internas en un sistema remoto preconfigurado. Según la configuración de esa conexión, la explotación podría comprometer por completo el sistema remoto. Tiene una puntuación CVSS de 9,9 y está clasificada como CWE-749.
- CVE-2026-89108 afecta a la funcionalidad administrativa de SAP Manufacturing Integration and Intelligence. Un atacante que ya tiene privilegios de administrador de MII puede enviar una solicitud manipulada que crea una cuenta con privilegios elevados en el servidor de aplicaciones Java subyacente, lo que podría otorgar control administrativo más allá de la aplicación vulnerable. Tiene una puntuación CVSS de 9,1 y está clasificada como CWE-862.
La acción inmediata para las implementaciones BTP multiinquilino basadas en Python es migrar a sap-cloud-sdk 0.45.2 o aplicar la solución alternativa de SAP basada en la lista de permitidos de subdominios de inquilino hasta que sea posible instalar la actualización.
