CVE-2026-0496CVE-2026-0496是SAP Fiori应用中存在的任意文件上传漏洞。该漏洞存在于Intercompany Balance Reconciliation（公司间余额对账）功能模块中，攻击者需要拥有高权限账户即可利用此漏洞。漏洞的核心问题在于应用程序缺少对上传文件的充分验证机制，允许用户上传任意类型的文件，包括可执行的脚本文件（如.php、.jsp、.asp等）。由于缺乏文件格式验证和内容检查，恶意文件可能被上传到服务器，进而可能导致进一步的入侵行为，如远程代码执行、数据泄露或服务中断。尽管CVSS评分显示该漏洞对机密性、完整性和可用性的直接影响较低，但在特定场景下，结合其他漏洞或配置问题，可能造成更严重的安全风险。建议受影响的用户及时应用SAP官方发布的安全补丁，并加强对文件上传功能的访问控制。
该漏洞源于SAP Fiori App Intercompany Balance Reconciliation模块在处理文件上传请求时未实施充分的输入验证。具体问题包括：1) 缺少文件类型白名单机制：系统未限制可上传的文件扩展名或MIME类型；2) 文件内容验证缺失：未对上传文件进行Magic Number或文件头检查；3) 上传路径可预测：文件存储位置可能存在可预测性，便于攻击者定位上传的文件。攻击者通过持有高权限账户（如管理员或财务角色），构造包含恶意代码的文件（如webshell脚本），利用标准文件上传接口绕过客户端验证直接发送请求到服务器。服务器端未进行有效的文件类型检查即保存文件到可访问目录。若服务器配置允许脚本文件执行，攻击者可通过HTTP请求访问上传的恶意文件，从而触发代码执行。需要注意的是，利用此漏洞需要认证后的高权限账户，这在一定程度上限制了其利用范围，但内部恶意用户仍可利用此漏洞进行横向移动或破坏。