CVE-2021-21480
SAP MII permite a los usuarios crear cuadros de mando y guardarlos como JSP a través del SSCE (Self Service Composition Environment). Un atacante puede...
- Publicado
- 9 mar 2021
- Actualizado
- 5 may 2025
- Asignación de CNA
- sap
- Evidencia observada
- 28 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAlto · próximos 30 días
- Percentil
- 99,0 %
- Fecha del modelo
- 19 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
SAP MII permite a los usuarios crear cuadros de mando y guardarlos como JSP a través del SSCE (Self Service Composition Environment). Un atacante puede interceptar una petición al servidor, inyectar código JSP malicioso en la petición y reenviarlo al servidor. Cuando este tablero es abierto por usuarios que tienen al menos el rol de Desarrollador SAP_XMII, el contenido malicioso en el tablero se ejecuta, llevando a la ejecución remota de código en el servidor, lo que permite la escalada de privilegios. El código JSP malicioso puede contener ciertos comandos del sistema operativo, a través de los cuales un atacante puede leer archivos sensibles en el servidor, modificar archivos o incluso eliminar contenidos en el servidor, comprometiendo así la confidencialidad, integridad y disponibilidad del servidor que aloja la aplicación SAP MII. Además, un atacante autentificado como desarrollador puede utilizar la aplicación para cargar y ejecutar un archivo que le permitirá ejecutar comandos del sistema operativo comprometiendo completamente el servidor que aloja la aplicación
Fuentes
- vulnerability_advisoriesInformativo
Avisos de seguridad de Onapsis. https://www.onapsis.com
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.