CVE-2026-89107

SAP S/4HANA (Manage Substitution/Validation Rules) non convalida sufficientemente l'input elaborato dalla funzionalità di definizione delle regole che utilizza un linguaggio di scripting specifico del dominio. Un attaccante autenticato con specifici privilegi di business potrebbe inviare un input appositamente predisposto, che viene interpretato come codice ABAP eseguibile dalla logica di elaborazione delle regole. Uno sfruttamento riuscito potrebbe consentire all'attaccante di eseguire codice ABAP arbitrario nel sistema, con conseguente compromissione completa del sistema interessato e un elevato impatto sulla riservatezza, sull'integrità e sulla disponibilità del sistema.