CVE-2026-0493CVE-2026-0493是SAP Fiori应用中发现的跨站请求伪造(CSRF)安全漏洞。该漏洞存在于Intercompany Balance Reconciliation(公司间余额调节)功能中，CVSS评分4.3，属于中等严重程度。由于应用程序未正确验证请求来源的合法性，攻击者可以构造恶意请求，诱使已认证用户在不知情的情况下执行非预期的状态变更操作。攻击者利用此漏洞可代表已认证用户触发账户余额调节相关的状态变更，如修改调节参数、提交虚假调节记录等，对系统完整性产生低程度影响。漏洞利用不需要用户交互，且攻击者仅需拥有低权限即可发起攻击。该漏洞不影响系统机密性和可用性，但可能被攻击者用于业务逻辑层面的恶意操作，如操纵财务数据或绕过业务流程审批环节。
跨站请求伪造(CSRF)是一种利用用户已认证身份发起恶意请求的攻击方式。在SAP Fiori App Intercompany Balance Reconciliation应用中，攻击者通过构造包含恶意请求参数的HTML页面或链接，当已认证用户访问该页面或点击链接时，浏览器会自动携带用户的认证Cookie向目标服务器发起请求。由于应用程序缺少对请求来源的有效验证(如未检查Referer头、Token验证缺失等)，服务器会错误地将此请求视为用户的合法操作。攻击者可以利用此漏洞执行以下操作：1)构造自动提交的表单，模拟用户发起公司间余额调节请求；2)修改调节参数如账户映射关系；3)提交虚假的对账数据；4)触发批量调节操作影响多个账户。攻击者需要诱骗已认证用户访问恶意页面，无需获取用户凭证即可发起攻击。防御措施包括：在关键操作中添加CSRF Token验证、检查HTTP Referer头、使用SameSite Cookie属性、验证请求的HTTP方法类型等。