SAP a publié sap-cloud-sdk 0.45.2 le 13 octobre 2026. Cette version corrige une vulnérabilité de falsification de requête côté serveur (SSRF) de gravité maximale, qui peut exposer les identifiants client OAuth2 des applications multi-locataires de SAP Business Technology Platform.
La faille, suivie sous les identifiants CVE-2026-89111 et GHSA-4mv3-jxxm-9cx2, touche toutes les versions du SDK Cloud de SAP pour Python antérieures à 0.45.2. SAP a publié son avis de sécurité GitHub le 13 octobre 2026 et a crédité SunandM de la découverte du problème.
Des données de locataire contrôlées par un attaquant peuvent rediriger les requêtes de jetons
CVE-2026-89111 est une vulnérabilité SSRF OAuth2 classée CWE-918. Elle apparaît lorsqu'un attaquant peut contrôler le paramètre tenant_subdomain utilisé par une application BTP multi-locataire.
Le SDK vulnérable peut insérer cette valeur dans l'URL utilisée pour une requête de jeton OAuth2. Une valeur malveillante peut donc rediriger la requête vers un serveur contrôlé par l'attaquant, exposant ainsi les identifiants client envoyés pendant l'échange.
Le vecteur CVSS v3.1 de SAP est :
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Il décrit une attaque accessible par le réseau, ne nécessitant ni privilèges ni interaction de l'utilisateur. L'évaluation CNA de SAP, également affichée par GitHub, attribue un score critique de 10,0, avec un impact élevé sur la confidentialité et l'intégrité, mais aucun impact sur la disponibilité. La fiche NVD ne contenait pas encore de score NIST distinct au 13 octobre 2026.
Passer à sap-cloud-sdk 0.45.2
Les organisations qui exploitent des applications BTP concernées doivent mettre à jour le paquet Python vers la version 0.45.2 ou une version ultérieure. La version corrigée vérifie tenant_subdomain selon les exigences des étiquettes DNS de la RFC 1123 avant de l'insérer dans une URL de jeton.
Lorsqu'une mise à jour immédiate n'est pas possible, SAP recommande aux applications consommatrices de valider tenant_subdomain par rapport à une liste d'autorisation contenant les sous-domaines de locataires enregistrés. Cette vérification doit intervenir avant que la valeur soit transmise à un appel du SDK.
Les équipes doivent prendre en compte les applications déployées et les dépendances verrouillées, plutôt que de ne vérifier que les environnements de développement : toute application utilisant sap-cloud-sdk en version antérieure à 0.45.2 reste dans la plage affectée.
Deux autres failles critiques corrigées dans la version d'octobre de SAP
La version de sécurité de SAP du 13 octobre 2026 couvre 20 vulnérabilités dans l'ensemble de ses produits. Deux autres problèmes critiques présentent des risques importants de compromission de système :
- CVE-2026-89110 est une vulnérabilité de contrôle d'accès défaillant dans SAP NetWeaver Visual Composer. Un attaquant disposant de faibles privilèges peut invoquer des opérations internes sur un système distant préconfiguré. Selon la configuration de cette connexion, l'exploitation pourrait compromettre entièrement le système distant. Son score CVSS est de 9,9 et elle est classée CWE-749.
- CVE-2026-89108 touche les fonctionnalités d'administration de SAP Manufacturing Integration and Intelligence. Un attaquant qui dispose déjà des privilèges d'administrateur MII peut soumettre une requête forgée qui crée un compte privilégié sur le serveur d'applications Java sous-jacent, pouvant ainsi obtenir un contrôle administratif au-delà de l'application vulnérable. Son score CVSS est de 9,1 et elle est classée CWE-862.
Pour les déploiements BTP multi-locataires basés sur Python, la mesure immédiate consiste à passer à sap-cloud-sdk 0.45.2 ou à appliquer la solution de contournement de SAP, la liste d'autorisation des sous-domaines de locataires, jusqu'à l'installation de la mise à jour.
