Qué es y cómo funciona
El SAP Cloud SDK for AI (Node.js) incluye inadvertidamente credenciales de autenticación sensibles en mensajes de error generados por ciertas operaciones internas bajo condiciones específicas de fallo. Un atacante con privilegios bajos y acceso a los registros de aplicación o salidas de error redirigidas podría obtener estas credenciales, pero solo después de esperar un evento de fallo adecuado desencadenado por un usuario con mayores privilegios y dentro del tiempo limitado de vida del token, lo que hace compleja la explotación.
Impacto
Una explotación exitosa podría permitir al atacante reutilizar las credenciales divulgadas contra el servicio SAP asociado, resultando en un alto impacto en la confidencialidad, integridad y disponibilidad.
Detalles técnicos
- CVE:
CVE-2026-120012 - CVSS: 7.5 (HIGH)
- CWE: CWE-209 (Exposición de información)
- EPSS: 0.0028% (baja probabilidad de explotación)
- En catálogo CISA KEV: No
| CVE | CVE-2026-120012 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| EPSS | 0.3% en 30 días (percentil 21) |
| CWE | CWE-209 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |