SAP Cloud SDK for Python : revendications IAS JWT non vérifiées

Veille sécuritéBackend & données

P3Élevée

Le fournisseur IASContextProvider du SAP Cloud SDK for Python décodait des revendications de JWT sans vérifier la signature, puis les plaçait dans le contexte d’exécution. Un appelant distant pouvait forger une identité de locataire ou d’utilisateur qui serait répercutée dans des journaux, événements d’audit, attributs de traces et décisions de routage; les données fournies ne précisent pas la version corrigée.

IdentifiantCVE-2026-109799

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109799

Analyse technique

Le motif non vérifié persistait dans IASContextProvider malgré une correction antérieure d’un motif similaire dans StarletteIASTelemetryMiddleware.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-10T01:17:13.887Z, soit le 2026-11-10 à 03:17:13.887+02:00, dans la période retenue.

ImpactUne identité de locataire ou d’utilisateur forgée peut contaminer des données de télémétrie, journaux et audit, ainsi que le routage par locataire.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,17% · percentile 6,6%

Publication2026-11-10T01:17:13.887Z

Mise à jour2026-11-10T20:17:38.000Z

Action recommandée

Examiner l’usage du SAP Cloud SDK for Python et appliquer le correctif éditeur; ne pas considérer les revendications IAS comme authentifiées sans validation de signature.

Sources

NVD — CVE-2026-109799

Priorisation DFS : P3 · 1 source(s).