SAP修補20漏洞！Python SDK獲CVSS滿分10分，BTP用戶注意

滿分風險：Python SDK成焦點

SAP在10月13日的例行Security Patch Day中，揭露並修補了20個資安漏洞。其中最引人注目的是PyPI套件「SAP Cloud SDK for Python」的CVE-2026-89111漏洞，獲得了CVSS嚴重程度評分的滿分10分。這是一個OAuth2伺服器請求偽造（SSRF）弱點，主要影響多租戶的商業技術雲端平台Business Technology Platform（BTP）應用程式。攻擊者若能控制tenant_subdomain參數，就能將OAuth2權杖請求重新導向至自己控制的伺服器，進而導致用戶端憑證外洩。SAP已於8月下旬發布的0.45.2版中修補此問題。

其他重大漏洞與風險分布

除了滿分漏洞外，本次更新還包含3個重大等級漏洞，CVSS評分介於9.9至9.1分之間。這些漏洞分別涉及NetWeaver Visual Composer的存取控制損壞（CVE-2026-89110）、S/4HANA的程式碼注入（CVE-2026-89107），以及Manufacturing Integration and Intelligence的授權缺乏檢查漏洞（CVE-2026-89108）。整體而言，20個漏洞中有4個為重大等級、3個為高風險等級，其餘則為中度及低風險。值得注意的是，其中4個漏洞的資訊已在GitHub上公開，顯示開源社群對這些資安議題的高度關注。

企業應立即檢查是否使用受影響的SAP Cloud SDK版本，並更新至0.45.2版以消除滿分風險。