CVSS: 9.9EPSS: 0%CPEs: 5EXPL: 0CVE-2021-27602
https://notcve.org/view.php?id=CVE-2021-27602
SAP Commerce, versions - 1808, 1811, 1905, 2005, 2011, Backoffice application allows certain authorized users to create source rules which are translated to drools rule when published to certain modules within the application. An attacker with this authorization can inject malicious code in the source rules and perform remote code execution enabling them to compromise the confidentiality, integrity and availability of the application. SAP Commerce, versiones: 1808, 1811, 1905, 2005, 2011, la aplicación Backoffice permite a determinados usuarios autorizados crear reglas de origen que son traducidas en reglas de drools cuando se publican en determinados módulos dentro de la aplicación. Un atacante con esta autorización puede inyectar código malicioso en las reglas de origen y llevar a cabo una ejecución de código remota, permitiendo comprometer la confidencialidad, integridad y disponibilidad de la aplicación • https://launchpad.support.sap.com/#/notes/3040210 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=573801649 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 9.9EPSS: 0%CPEs: 5EXPL: 0CVE-2021-21477
https://notcve.org/view.php?id=CVE-2021-21477
SAP Commerce Cloud, versions - 1808,1811,1905,2005,2011, enables certain users with required privileges to edit drools rules, an authenticated attacker with this privilege will be able to inject malicious code in the drools rules which when executed leads to Remote Code Execution vulnerability enabling the attacker to compromise the underlying host enabling him to impair confidentiality, integrity and availability of the application. SAP Commerce Cloud, versiones - 1808,1811,1905,2005,2011, permite a determinados usuarios con privilegios requeridos editar las reglas de drools, un atacante autenticado con este privilegio podrá inyectar código malicioso en las reglas de drools que, cuando se ejecutan, conllevan a una vulnerabilidad de ejecución de código remota permitiendo al atacante poner en peligro el host subyacente, permitiendo afectar la confidencialidad, integridad y disponibilidad de la aplicación • https://launchpad.support.sap.com/#/notes/3014121 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=568460543 • CWE-94: Improper Control of Generation of Code ('Code Injection') •
CVSS: 5.4EPSS: 0%CPEs: 5EXPL: 0CVE-2021-21445
https://notcve.org/view.php?id=CVE-2021-21445
SAP Commerce Cloud, versions - 1808, 1811, 1905, 2005, 2011, allows an authenticated attacker to include invalidated data in the HTTP response Content Type header, due to improper input validation, and sent to a Web user. A successful exploitation of this vulnerability may lead to advanced attacks, including cross-site scripting and page hijacking. SAP Commerce Cloud, versiones - 1808, 1811, 1905, 2005, 2011, permite a un atacante autenticado incluir datos invalidados en el encabezado Content Type de la respuesta HTTP, debido a una comprobación de entrada inapropiada, y se envía a un usuario Web. Una explotación con éxito de esta vulnerabilidad puede conllevar a ataques avanzados, incluyendo cross-site scripting y secuestro de páginas • https://launchpad.support.sap.com/#/notes/2984034 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=564760476 • CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') •