Veille sécuritéBackend & données
P3Critique
Une vulnérabilité SSRF affecte le SAP Cloud SDK for Python dans des applications BTP multi-locataires : un attaquant contrôlant le paramètre tenant_subdomain peut détourner des requêtes de jeton OAuth2 vers un serveur qu’il contrôle. Les identifiants du client OAuth2 peuvent ainsi être divulgués ; les versions affectées et le correctif ne sont pas précisés dans les éléments fournis.
Python
IdentifiantCVE-2026-89111
GravitéCritique
Exploitationnon connue / non déterminée
Correctif0.45.2
Source : NVD — CVE-2026-89111
Analyse technique
Le paramètre tenant_subdomain contrôlé par l’attaquant peut rediriger les requêtes de jeton OAuth2 vers un serveur tiers.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-10-13T01:16:47.890Z, dans la période demandée ; c’est une nouvelle vulnérabilité, et non une simple modification administrative.
ImpactDivulgation possible des identifiants client OAuth2 d’applications BTP multi-locataires.
Versions affectées< 0.45.2
Version corrigée0.45.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS10
EPSS0,27% · percentile 18,4%
Publication2026-10-13T01:16:47.890Z
Mise à jour2026-10-13T03:16:41.133Z
Action recommandée
Consulter l’avis SAP pour identifier les versions concernées et appliquer le correctif dès qu’il est disponible ; limiter l’exposition des identifiants OAuth2.
Sources
Priorisation DFS : P3 · 1 source(s).