CVE Intelligence
Análise Assistido por IA

CVE-2026-34263: SAP Commerce Cloud: configuração incorreta do Spring Security permite injeção de entrada e execução de código

O SAP Commerce Cloud é afetado pela CVE-2026-34263, causada por uma configuração inadequada do Spring Security. Segundo o registro da CNA, um usuário não autenticado pode injetar entrada maliciosa que resulta em execução arbitrária de código no servidor. A CNA atribui pontuação 9.6 (crítica) no CVSS 3.1, e o registro ainda não informa versões afetadas nem correções.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A SAP publicou a CVE-2026-34263 para o SAP Commerce Cloud. A descrição fornecida pela CNA atribui o problema a uma configuração inadequada do Spring Security, que permite a um usuário não autenticado injetar entrada maliciosa e alcançar execução arbitrária de código no servidor.

Impacto

  • A CNA descreve alto impacto na confidencialidade, integridade e disponibilidade da aplicação.
  • A pontuação CVSS 3.1 informada pela CNA é 9.6 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.
  • Inferência: a descrição afirma que não é necessária autenticação, mas o vetor também indica interação do usuário e mudança de escopo, por isso as condições exatas devem ser confirmadas na nota da própria SAP.

Produtos e versões afetados

O registro menciona o SAP Commerce Cloud, mas não lista versões de produto nem faixas de versões afetadas. As versões afetadas são desconhecidas nas fontes consultadas. Consulte a SAP Note 3733064 para a lista oficial da SAP.

Status de exploração

O CISA KEV não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro EPSS indica probabilidade de 0.00621 e percentil de 0.48369; são estimativas e não evidência de exploração.

Correção e mitigação

  • Revise as informações do SAP Security Patch Day e a SAP Note 3733064 para identificar a correção aplicável.
  • Priorize a aplicação da correção devido à pontuação crítica, mesmo sem versão corrigida listada no registro.
  • Até a correção, revise a configuração do Spring Security nos seus ambientes e limite a exposição de endpoints não autenticados sempre que possível.

Orientação para detecção

  • Monitore logs de aplicação e web em busca de entradas incomuns ou malformadas direcionadas a endpoints do Commerce.
  • Gere alertas para criação inesperada de processos ou conexões de saída a partir dos servidores de aplicação do Commerce.

Limitações das informações disponíveis

  • Nenhuma versão afetada ou corrigida consta no registro.
  • A entrada CWE (CWE-459) não tem nome no registro.
  • A data EPSS registrada (2026-10-13) é posterior à data de publicação e deve ser verificada.
  • Detalhes técnicos do vetor de injeção não são fornecidos, e esta análise não os descreve.

Perguntas frequentes

A CVE-2026-34263 está sendo explorada ativamente?

O CISA KEV não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.

Qual é a severidade da CVE-2026-34263?

A CNA atribui pontuação CVSS 3.1 de 9.6 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H.

Quais versões são afetadas e onde está a correção?

O registro não lista versões afetadas nem corrigidas. Consulte a SAP Note 3733064 e a página SAP Security Patch Day para informações oficiais.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.