در سیستم SAP Fiori Launchpad یک نقص امنیتی با شناسه CVE-2026-76974 شناسایی شده است که به دلیل عدم اعتبارسنجی صحیح ورودی‌های تحت کنترل کاربر (User-controlled input) رخ می‌دهد.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی به مهاجمان اجازه می‌دهد تا لینک‌های مخرب (Malicious Links) را طراحی کنند. در صورتی که یک کاربر احراز هویت شده (Authenticated User) روی این لینک‌ها کلیک کند، مرورگر او را مجبور می‌کند تا محتوای کنترل شده توسط مهاجم را از یک منبع خارجی بارگذاری نماید.
تاثیرات امنیتی
- محرمانگی (Confidentiality): این آسیب‌پذیری می‌تواند منجر به استخراج اطلاعات حساس از Session کاربر قربانی شود که تاثیر شدیدی بر محرمانگی داده‌ها دارد.
- یکپارچگی و در دسترس بودن (Integrity & Availability): طبق گزارش‌های فنی، این نقص هیچ تاثیر منفی بر یکپارچگی داده‌ها یا در دسترس بودن سرویس‌ها ندارد.
این حمله به صورت غیرمستقیم و از طریق مهندسی اجتماعی صورت می‌گیرد و نیازی به احراز هویت مهاجم برای اجرای اولیه حمله نیست (Unauthenticated Attacker).
