SAP 13 октября публично раскрыла CVE-2026-89111 в SAP Cloud SDK for Python и включила ее в октябрьский пакет безопасности. Уязвимость получила максимальную оценку критичности CVSS 10 из 10.
Исправление появилось раньше раскрытия: версия 0.45.2 была выпущена 21 августа. Согласно странице SAP Security Patch Day, уязвимы версии библиотеки ниже 0.45.2.
Как могла произойти утечка
SAP Cloud SDK for Python — официальный набор компонентов для Python-приложений, интеграций и ИИ-агентов на облачной платформе SAP Business Technology Platform.
Читайте также
Проблема затрагивает многопользовательские приложения. Если злоумышленник мог управлять параметром tenant_subdomain, он получал возможность перенаправить запрос OAuth2-токена на свой сервер. Вместе с запросом могли утечь клиентские учетные данные приложения.
Это уязвимость класса SSRF, при которой сервер обращается по адресу, заданному атакующим. Для описанной атаки не требовались вход в приложение или действия пользователя. Однако одного использования продуктов SAP недостаточно: риск возникает, когда приложение работает с несколькими клиентами и принимает недоверенное значение tenant_subdomain.
Что исправила SAP
Версия 0.45.2 проверяет tenant_subdomain по правилам DNS-меток RFC 1123 перед подстановкой в адрес запроса токена. Разработчикам следует обновить SAP Cloud SDK for Python как минимум до этой версии.
Если обновление пока невозможно, SAP рекомендует проверять значение по заранее составленному списку зарегистрированных и разрешенных поддоменов перед каждым вызовом SDK.
На 13 октября SAP не сообщала об использовании уязвимости в реальных атаках или о публикации рабочего кода для ее эксплуатации.
Что это значит
Разработчикам многопользовательских приложений на SAP BTP стоит проверить:
- установлена ли версия
sap-cloud-sdkниже 0.45.2; - может ли внешний запрос или другой недоверенный источник влиять на
tenant_subdomain; - выполнено ли обновление как минимум до 0.45.2;
- используется ли строгий список разрешенных поддоменов, если обновление отложено.