CVSS: 7.8EPSS: 0%CPEs: 1EXPL: 0CVE-2022-35292
https://notcve.org/view.php?id=CVE-2022-35292
In SAP Business One application when a service is created, the executable path contains spaces and isn’t enclosed within quotes, leading to a vulnerability known as Unquoted Service Path which allows a user to gain SYSTEM privileges. If the service is exploited by adversaries, it can be used to gain privileged permissions on a system or network leading to high impact on Confidentiality, Integrity, and Availability. En la aplicación SAP Business One, cuando es creado un servicio, la ruta ejecutable contiene espacios y no está entre comillas, conllevando a una vulnerabilidad conocida como Ruta de Servicio sin Comillas que permite a un usuario conseguir privilegios SYSTEM. Si el servicio es explotado por adversarios, puede ser usado para obtener permisos privilegiados en un sistema o red, conllevando a un alto impacto en la Confidencialidad, Integridad y Disponibilidad • https://launchpad.support.sap.com/#/notes/3223392 https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html • CWE-428: Unquoted Search Path or Element •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2022-32249
https://notcve.org/view.php?id=CVE-2022-32249
Under special integration scenario of SAP Business one and SAP HANA - version 10.0, an attacker can exploit HANA cockpit�s data volume to gain access to highly sensitive information (e.g., high privileged account credentials) En un escenario especial de integración de SAP Business One y SAP HANA - versión 10.0, un atacante puede explotar el volumen de datos del cockpit de HANA para acceder a información altamente confidencial (por ejemplo, credenciales de cuentas con altos privilegios) • https://launchpad.support.sap.com/#/notes/3212997 https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html • CWE-668: Exposure of Resource to Wrong Sphere •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2022-35168
https://notcve.org/view.php?id=CVE-2022-35168
Due to improper input sanitization of XML input in SAP Business One - version 10.0, an attacker can perform a denial-of-service attack rendering the system temporarily inoperative. Debido a un saneo inapropiado de la entrada XML en SAP Business One - versión 10.0, un atacante puede llevar a cabo un ataque de denegación de servicio haciendo que el sistema quede temporalmente inoperativo • https://launchpad.support.sap.com/#/notes/3211203 https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html • CWE-611: Improper Restriction of XML External Entity Reference •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 0CVE-2022-31593
https://notcve.org/view.php?id=CVE-2022-31593
SAP Business One client - version 10.0 allows an attacker with low privileges, to inject code that can be executed by the application. An attacker could thereby control the behavior of the application. El cliente SAP Business One - versión 10.0, permite a un atacante con bajos privilegios, inyectar código que puede ser ejecutado por la aplicación. Un atacante podría así controlar el comportamiento de la aplicación • https://launchpad.support.sap.com/#/notes/3191012 https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html • CWE-74: Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2022-28771
https://notcve.org/view.php?id=CVE-2022-28771
Due to missing authentication check, SAP Business one License service API - version 10.0 allows an unauthenticated attacker to send malicious http requests over the network. On successful exploitation, an attacker can break the whole application making it inaccessible. Debido a una falta de comprobación de la autenticación, la API del servicio de licencias de SAP Business one - versión 10.0 permite a un atacante no autenticado enviar peticiones http maliciosas a través de la red. Si es explotado con éxito, un atacante puede romper toda la aplicación haciéndola inaccesible • https://launchpad.support.sap.com/#/notes/3157613 https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html • CWE-306: Missing Authentication for Critical Function •