Improper Privilege Management in sap-xssec
Impact
SAP BTP Security Services Integration Library ([Python] sap-xssec) allows under certain conditions an escalation of privileges. On successful exploitation, an unauthenticated attacker can obtain arbitrary permissions within the application.
Patches
Upgrade to patched version >= 4.1.0 We always recommend to upgrade to the latest released version.
Workarounds
No workarounds
References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | sap-xssec | < 4.1.0 | 4.1.0 |
Odnośniki
- https://me.sap.com/notes/3411067
- https://www.sap.com/documents/2022/02/fa865ea4-167e-0010-bca6-c68f7e60039b.html
- https://pypi.org/project/sap-xssec/
- https://blogs.sap.com/2023/12/12/unveiling-critical-security-updates-sap-btp-security-note-3411067/
- https://github.com/SAP/cloud-pysec/security/advisories/GHSA-6mjg-37cp-42x5
- https://github.com/SAP/cloud-pysec/
- https://nvd.nist.gov/vuln/detail/CVE-2023-50423
- https://github.com/SAP/cloud-pysec/commit/d90c9e0733fa9af68bd8ea0b1cf023cf482163ef
- https://blogs.sap.com/2023/12/12/unveiling-critical-security-updates-sap-btp-security-note-3411067
- https://github.com/SAP/cloud-pysec
- https://github.com/pypa/advisory-database/tree/main/vulns/sap-xssec/PYSEC-2023-261.yaml
- https://pypi.org/project/sap-xssec
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Słabość (CWE)
CWE-269- Platforma
- Python (PyPI)
- Paczka
sap-xssec- Ujawniono
- 12.12.2023
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2023-261 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-6mjg-37cp-42x5 - CC BY 4.0
Historia podatności: sap-xssec
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.