CVE-2025-42904CVE-2025-42904是SAP Application Server ABAP中的一个信息泄露漏洞。该漏洞由于ABAP应用程序服务器在处理列表显示时未能正确屏蔽敏感数据，导致经过身份验证的低权限攻击者可以读取原本应该被隐藏或屏蔽的敏感信息。漏洞的核心问题在于ABAP Lists（ABAP列表）中显示的数据未被正确处理，攻击者可以利用这一缺陷获取未授权访问的数据。成功利用此漏洞可能导致机密数据泄露，包括但不限于用户凭证、财务信息、业务数据等敏感内容。根据CVSS 3.1评分6.5（中等严重级别），该漏洞对机密性产生高影响（C:H），但对完整性和可用性无影响（I:N/A:N）。攻击向量为网络（AV:N），需要低权限认证（PR:L），无需用户交互（UI:N）。此漏洞影响SAP系统的核心组件，可能对企业业务运营和数据安全构成威胁。
SAP Application Server ABAP是SAP系统的核心组件，负责运行ABAP应用程序和处理业务逻辑。该漏洞存在于ABAP Lists的数据展示机制中。当系统在ABAP环境中生成列表输出时，某些敏感字段应当被屏蔽或加密显示，但由于实现缺陷，这些字段以明文形式暴露在列表界面中。攻击者首先需要获取SAP系统的有效用户凭证（低权限账户即可），登录后通过特定的ABAP事务代码或自定义报表触发列表生成。系统返回的列表数据中包含未屏蔽的敏感信息，攻击者可以直接读取这些数据。漏洞利用的关键在于理解ABAP列表的渲染机制和字段屏蔽逻辑。由于ABAP Lists通常用于显示查询结果、报表数据和系统信息，攻击者可以通过构造特定的查询条件或利用系统标准报表来获取目标数据。此漏洞可能影响数据脱敏、字段级安全控制和访问控制列表的实施效果。