SAP advierte sobre una vulnerabilidad de seguridad SSRF de máxima gravedad en OAuth2.

SAP ha corregido 20 fallos de seguridad en varios productos en sus actualizaciones de seguridad de octubre de 2026, incluyendo una vulnerabilidad de máxima gravedad en el SDK de Cloud para Python.

El SDK de SAP para Python es el kit de herramientas programáticas oficial para desarrollar agentes de IA y aplicaciones Python en los servicios de SAP Business Technology Platform (BTP).

Identificada como CVE-2026-89111, la vulnerabilidad de máxima gravedad corregida este mes puede ser explotada por atacantes remotos sin privilegios para robar credenciales.

Los clientes que no puedan implementar de inmediato los parches de SAP de octubre de 2026 pueden mitigar temporalmente el problema utilizando una lista de permisos para validar los valores de tenant_subdomain.

"El SDK de SAP Cloud para Python contiene una vulnerabilidad SSRF de OAuth2 que afecta a las aplicaciones BTP multiusuario. Un atacante que controle el parámetro tenant_subdomain puede redirigir las solicitudes de tokens de OAuth2 a un servidor controlado por el atacante, lo que provoca la exfiltración de credenciales de cliente", según un aviso publicado el martes.

Las aplicaciones de consumo pueden mitigar la vulnerabilidad validando el subdominio del inquilino con una lista de subdominios registrados antes de pasarlo a cualquier llamada al SDK.

Hoy, SAP también solucionó la vulnerabilidad CVE-2026-89110, una vulnerabilidad crítica de control de acceso en SAP NetWeaver Visual Composer que podría permitir a atacantes remotos con privilegios limitados comprometer completamente los sistemas vulnerables.

Otra vulnerabilidad crítica corregida hoy en SAP Manufacturing Integration and Intelligence (identificada como CVE-2026-89108) permite a los ciberdelincuentes con privilegios de administrador obtener el control del sistema subyacente mediante el aprovisionamiento de una cuenta con privilegios elevados en la aplicación Java subyacente.

En los últimos meses, SAP ha corregido varias otras vulnerabilidades de máxima gravedad en múltiples componentes. Por ejemplo, en agosto corrigió la vulnerabilidad CVE-2026-58231 en la plataforma de comercio electrónico en la nube Commerce Cloud, que la empresa de inteligencia de amenazas Defused identificó como explotada activamente en ataques días después de su corrección.