CVE-2025-42957
严重已发布
SAP S/4HANA（私有云或本地部署）中的代码注入漏洞
- 已发布
- 2025年8月12日
- 已更新
- 2026年2月26日
- 分配 CNA
- sap
- 观察到的证据
- 2026年8月8日
初级CVSS
9.9/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H1.6%
低 · 未来 30 天
- 百分位
- 75.0%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
SAP S/4HANA 允许具有用户权限的攻击者利用通过 RFC 暴露的功能模块中的漏洞。该缺陷使得攻击者能够向系统注入任意 ABAP 代码，从而绕过关键授权检查。此漏洞实际上充当后门，带来系统完全沦陷的风险，破坏系统的机密性、完整性和可用性。
来源
1CVE‑2025‑42957 暴露了一个启用 RFC 的 SAP S/4HANA 模块，该模块允许低权限用户注入 ABAP 代码以创建管理员账户并获得完全控制权。文章解释了该漏洞、威胁模型，提供了最小利用 ABAP 代码，并列出了修补和监控步骤以保护系统。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。