Il 13 ottobre 2026 SAP ha rilasciato sap-cloud-sdk 0.45.2, che corregge una vulnerabilità di server-side request forgery di gravità massima. Il problema può esporre le credenziali client OAuth2 delle applicazioni multi-tenant di SAP Business Technology Platform.
La falla, identificata come CVE-2026-89111 e GHSA-4mv3-jxxm-9cx2, interessa ogni versione di SAP Cloud SDK per Python precedente alla 0.45.2. Il 13 ottobre 2026 SAP ha pubblicato il suo avviso di sicurezza GitHub, riconoscendo a SunandM il merito della segnalazione.
I dati del tenant controllati dall'attaccante possono reindirizzare le richieste di token
CVE-2026-89111 è una vulnerabilità SSRF in OAuth2 classificata come CWE-918. Si manifesta quando un attaccante può controllare il parametro tenant_subdomain usato da un'applicazione BTP multi-tenant.
L'SDK vulnerabile può inserire quel valore nell'URL usato per una richiesta di token OAuth2. Un valore malevolo può quindi indirizzare la richiesta verso un server controllato dall'attaccante, esponendo le credenziali client inviate durante lo scambio.
Il vettore CVSS v3.1 indicato da SAP è:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Descrive un attacco raggiungibile dalla rete che non richiede né privilegi né interazione dell'utente. La valutazione CNA di SAP, mostrata anche da GitHub, assegna un punteggio di 10.0 (Critico), con impatto elevato su riservatezza e integrità e nessun impatto sulla disponibilità. Il record NVD non conteneva ancora un punteggio NIST separato al 13 ottobre 2026.
Passare alla versione 0.45.2 di sap-cloud-sdk
Le organizzazioni che eseguono applicazioni BTP interessate dovrebbero aggiornare il pacchetto Python alla versione 0.45.2 o successiva. La release corretta verifica tenant_subdomain rispetto ai requisiti delle etichette DNS RFC 1123 prima di inserirlo in un URL per il token.
Quando un aggiornamento immediato non è possibile, SAP consiglia alle applicazioni consumer di convalidare tenant_subdomain rispetto a una allowlist che contiene i sottodomini dei tenant registrati. Questo controllo deve avvenire prima che il valore venga passato a qualsiasi chiamata dell'SDK.
I team dovrebbero considerare le applicazioni già distribuite e le dipendenze bloccate, anziché controllare solo gli ambienti di sviluppo: qualsiasi applicazione che esegue sap-cloud-sdk inferiore alla 0.45.2 rientra ancora nell'intervallo interessato.
Altre due vulnerabilità critiche corrette nella release di ottobre di SAP
La release di sicurezza di SAP del 13 ottobre 2026 copre venti vulnerabilità nei suoi prodotti. Altre due criticità presentano rischi significativi di compromissione dei sistemi:
- CVE-2026-89110 è una vulnerabilità di controllo degli accessi non funzionante in SAP NetWeaver Visual Composer. Un attaccante con privilegi bassi può invocare operazioni interne su un sistema remoto preconfigurato. A seconda della configurazione di quella connessione, lo sfruttamento potrebbe compromettere completamente il sistema remoto. Ha un punteggio CVSS di 9.9 ed è classificata come CWE-749.
- CVE-2026-89108 riguarda le funzionalità amministrative di SAP Manufacturing Integration and Intelligence. Un attaccante che dispone già dei privilegi di amministratore di MII può inviare una richiesta appositamente costruita che crea un account con privilegi elevati sul server applicativo Java sottostante, ottenendo potenzialmente il controllo amministrativo oltre l'applicazione vulnerabile. Ha un punteggio CVSS di 9.1 ed è classificata come CWE-862.
L'azione immediata per le distribuzioni BTP multi-tenant basate su Python è passare a sap-cloud-sdk 0.45.2 oppure applicare la soluzione alternativa di SAP, cioè la allowlist dei sottodomini dei tenant, finché l'aggiornamento non può essere installato.
