CVSS: 5.4EPSS: 0%CPEs: 6EXPL: 0CVE-2021-27601
https://notcve.org/view.php?id=CVE-2021-27601
SAP NetWeaver AS Java (Applications based on HTMLB for Java) allows a basic-level authorized attacker to store a malicious file on the server. When a victim tries to open this file, it results in a Cross-Site Scripting (XSS) vulnerability and the attacker can read and modify data. However, the attacker does not have control over kind or degree. SAP NetWeaver AS Java (Aplicaciones basadas en HTMLB para Java) permite a un atacante autorizado de nivel básico almacenar un archivo malicioso en el servidor. Cuando una víctima intenta abrir este archivo, resulta en una vulnerabilidad de tipo Cross-Site Scripting (XSS) y el atacante puede leer y modificar datos. • https://launchpad.support.sap.com/#/notes/2963592 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=573801649 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.5EPSS: 0%CPEs: 3EXPL: 0CVE-2021-27603
https://notcve.org/view.php?id=CVE-2021-27603
An RFC enabled function module SPI_WAIT_MILLIS in SAP NetWeaver AS ABAP, versions - 731, 740, 750, allows to keep a work process busy for any length of time. An attacker could call this function module multiple times to block all work processes thereby causing Denial of Service and affecting the Availability of the SAP system. Un módulo de función SPI_WAIT_MILLIS habilitado para RFC en SAP NetWeaver AS ABAP, versiones - 731, 740, 750, permite mantener un proceso de trabajo ocupado durante cualquier período de tiempo. Un atacante podría llamar a este módulo de funciones varias veces para bloquear todos los procesos de trabajo, conllevando a una Denegación de Servicio y afectaría la Disponibilidad del sistema SAP • https://launchpad.support.sap.com/#/notes/3028729 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=573801649 •
CVSS: 4.3EPSS: 0%CPEs: 7EXPL: 0CVE-2021-21492
https://notcve.org/view.php?id=CVE-2021-21492
SAP NetWeaver Application Server Java(HTTP Service), versions - 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, does not sufficiently validate logon group in URLs, resulting in a content spoofing vulnerability when directory listing is enabled. SAP NetWeaver Application Server Java (HTTP Service), versiones - 7.10, 7.11, 7.20, 7.30, 7.31, 7.40, 7.50, no comprueba suficientemente el grupo de inicio de sesión en las URL, resultando en una vulnerabilidad de suplantación de contenido cuando la lista de directorios está habilitada • https://launchpad.support.sap.com/#/notes/3025637 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=573801649 • CWE-290: Authentication Bypass by Spoofing •
CVSS: 8.3EPSS: 0%CPEs: 2EXPL: 0CVE-2021-21482
https://notcve.org/view.php?id=CVE-2021-21482
SAP NetWeaver Master Data Management, versions - 710, 710.750, allows a malicious unauthorized user with access to the MDM Server subnet to find the password using a brute force method. If successful, the attacker could obtain access to highly sensitive data and MDM administrative privileges leading to information disclosure vulnerability thereby affecting the confidentiality and integrity of the application. This happens when security guidelines and recommendations concerning administrative accounts of an SAP NetWeaver Master Data Management installation have not been thoroughly reviewed. SAP NetWeaver Master Data Management, versiones - 710, 710.750, permite a un usuario malicioso no autorizado con acceso a la subred del MDM Server encontrar la contraseña usando un método de fuerza bruta. Si tiene éxito, el atacante podría obtener acceso a datos altamente confidenciales y privilegios administrativos de MDM, conllevando a una vulnerabilidad de divulgación de información que afectaría la confidencialidad e integridad de la aplicación. • https://launchpad.support.sap.com/#/notes/3017908 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=573801649 •
CVSS: 6.5EPSS: 0%CPEs: 3EXPL: 0CVE-2021-27598
https://notcve.org/view.php?id=CVE-2021-27598
SAP NetWeaver AS JAVA (Customer Usage Provisioning Servlet), versions - 7.31, 7.40, 7.50, allows an attacker to read some statistical data like product version, traffic, timestamp etc. because of missing authorization check in the servlet. SAP NetWeaver AS JAVA (Customer Usage Provisioning Servlet), versiones - 7.31, 7.40, 7.50, permite a un atacante leer algunos datos estadísticos como la versión del producto, el tráfico, la marca de tiempo, etc. debido a una falta de comprobación de autorización en el servlet • https://launchpad.support.sap.com/#/notes/3027937 https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=573801649 • CWE-284: Improper Access Control CWE-862: Missing Authorization •