CVE-2026-27683SAP BusinessObjects Business Intelligence 应用程序存在一处跨站脚本（XSS）漏洞。由于未能充分过滤用户输入，经过身份验证的攻击者可利用特制URL注入恶意JavaScript载荷。当受害者访问该链接时，脚本将在其浏览器中执行，可能导致敏感信息泄露。
该漏洞源于SAP BusinessObjects BI平台在处理特定URL参数时缺乏严格的输入验证与输出编码机制。攻击者需具备低权限账户，通过构造包含恶意JS代码的URL（例如在参数值中插入<script>标签）进行攻击。当已认证的受害者点击该URL时，服务器会将未经过滤的参数反射回页面响应中，导致浏览器解析并执行攻击者提供的脚本。由于脚本运行在受害者的信任会话上下文中，攻击者可利用DOM操作窃取Session Cookie、Token或其他受限数据，进而可能导致会话劫持。虽然CVSS评分显示其对完整性和可用性无影响，但机密性的丧失为后续攻击提供了便利。