CVE-2026-27682SAP NetWeaver Application Server ABAP（基于Business Server Pages的应用程序）中存在一个反射型跨站脚本（XSS）漏洞。未经身份验证的攻击者可以通过精心构造的恶意URL，利用未受保护的URL参数嵌入恶意脚本。当受害者点击该链接时，注入的输入在网页生成过程中被处理，导致在受害者的浏览器上下文中执行恶意内容。此漏洞可能允许攻击者访问或修改信息，从而影响应用程序的机密性和完整性。
该漏洞属于反射型XSS（Reflected Cross-Site Scripting），其根本原因在于SAP NetWeaver AS ABAP的BSP应用程序未能对用户通过URL提交的参数进行充分的输入验证和输出编码。攻击者无需认证（PR:N）即可发起攻击，但需要诱导用户进行交互（UI:R），例如点击钓鱼链接。攻击流程如下：攻击者识别出存在漏洞的URL参数，并在其中注入JavaScript代码（如<script>alert(document.cookie)</script>）。当服务器接收到请求后，直接将参数值反射回响应页面中且未进行转义。受害者的浏览器接收到响应后解析HTML，进而执行注入的脚本。由于CVSS向量显示范围影响为S:C（Scope Changed），攻击者可能利用该漏洞在受害者的浏览器会话中执行任意操作，窃取Session Cookie、重定向至恶意站点或篡改页面内容。尽管攻击复杂度被标记为高（AC:H），但其成功利用可直接威胁数据的机密性（C:L）和完整性（I:L）。