CVE-2026-89107

SAP S/4HANA (Manage Substitution/Validation Rules) ne valide pas suffisamment les entrées traitées par la fonctionnalité de définition de règles, qui utilise un langage de script spécifique au domaine. Un attaquant authentifié disposant de privilèges métier spécifiques peut soumettre une entrée spécialement conçue, que la logique de traitement des règles interprète comme du code ABAP exécutable. Une exploitation réussie peut permettre à l'attaquant d'exécuter du code ABAP arbitraire dans le système, entraînant une compromission totale du système concerné et un impact élevé sur la confidentialité, l'intégrité et la disponibilité du système.