CVE-2025-42891CVE-2025-42891是SAP Enterprise Search for ABAP中的一个高危安全漏洞，由于缺少适当的授权检查，攻击者可能利用高权限账户读取并导出数据库表内容到ABAP报告中。该漏洞的CVSS评分为5.5，属于中等严重程度，主要影响数据的机密性（高影响）和完整性（低影响），对应用程序可用性无影响。攻击向量为网络形式，无需用户交互，但需要高权限认证。攻击者利用此漏洞可以获取敏感业务数据，造成数据泄露风险。建议受影响的SAP用户及时应用官方安全补丁修复此漏洞。
SAP Enterprise Search for ABAP在处理搜索请求时缺少必要的授权验证机制。攻击者通过拥有高权限的账户（如SAP_ALL或具备相关权限的角色），可以构造特定的搜索查询，利用Enterprise Search功能访问受保护的数据库表内容。漏洞核心在于系统未能正确验证用户是否具有访问特定数据对象的权限。攻击者可以将查询结果导出到ABAP报告中，从而批量获取敏感数据。此漏洞属于经典的Broken Access Control（失效的访问控制）类型，CWE分类为CWE-862（缺失授权）。利用该漏洞不需要复杂的技术手段，攻击者只需了解SAP系统的标准操作流程即可实施攻击。CVSS向量显示攻击复杂度低（AC:L），但需要高权限（PR:H），这意味着攻击者必须是经过认证的授权用户，但权限级别相对较低的用户（如普通员工）无法利用此漏洞。