SAP Cloud SDK for Python : faille CVSS 10 qui expose les identifiants OAuth2

SAP a publié le 13 octobre 2026 un avis de sécurité sur CVE-2026-89111, une faille de score CVSS 10 sur 10 dans son Cloud SDK for Python, qui peut envoyer les identifiants OAuth2 d'une application à un serveur contrôlé par un attaquant.

Qui est concerné par CVE-2026-89111 ?

D'après The Hacker News, la faille touche les applications multi-locataires de SAP Business Technology Platform (BTP) qui utilisent ce SDK, le client Python officiel des services BTP. Pour l'exploiter, un attaquant doit pouvoir contrôler le sous-domaine du locataire (« tenant »), le nom que l'application transmet au SDK pour indiquer pour quel locataire une requête est faite. SAP classe le défaut comme une SSRF, une faiblesse qui pousse un serveur à émettre une requête vers une destination imprévue.

Pourquoi les identifiants fuient-ils ?

Quand une application fournit un sous-domaine, le SDK demande un jeton d'accès pour ce locataire. Il prend l'URL de jeton de la configuration et en remplace une partie par le sous-domaine. Sans contrôle, n'importe quelle valeur est acceptée, et le SDK envoie alors l'identifiant et le secret client à l'URL obtenue. Le correctif ajouté en version 0.45.2, publiée le 21 août, n'accepte plus qu'un nom simple de lettres, chiffres et tirets, jusqu'à 63 caractères. Le code non contrôlé existait depuis la première version sur PyPI, le 16 mars.

Le correctif est-il présent dans toutes les versions récentes ?

Pas selon les tests de The Hacker News. Le 13 octobre, la rédaction a exécuté les tests écrits par SAP pour cette vérification sur toutes les versions de 0.45.1 à 0.58.4. Les versions 0.53.0 à 0.55.0, publiées entre le 10 et le 18 septembre, échouent à 9 des 11 tests lorsqu'une application utilise le module Destination : la version 0.53.0 avait déplacé ce module sur un nouveau code partagé de demande de jetons, sans la vérification. La version 0.55.1 l'a rétablie le 18 septembre, et toutes les versions suivantes, jusqu'à 0.58.4, passent les 11 tests. Les versions 0.36.1 et 0.36.2, parues en septembre sur l'ancienne branche, n'ont pas non plus la vérification ; passer à une version plus récente de cette branche ne la corrige pas.

Point important : l'avis ne liste aucune version supérieure à 0.45.2 comme affectée et ne dit pas si ces six versions relèvent de CVE-2026-89111. C'est le constat d'un média, pas encore une position de SAP.

Que faire ?

Mettre à jour vers une version dotée de la vérification (0.45.2 à 0.52.2, ou 0.55.1 et au-delà). Si ce n'est pas possible, SAP conseille de comparer chaque sous-domaine à la liste des locataires enregistrés avant de le transmettre au SDK. L'avis ne dit pas si les applications ayant fait tourner une version sans vérification doivent changer leurs identifiants clients ; la prudence invite à y réfléchir, ce qui reste à confirmer par SAP.

Ce qui reste incertain

Ce qu'un attaquant pourrait faire avec les identifiants dépend des droits du client, et l'avis ne le précise pas. Il ne rapporte aucune attaque. Les notes de version d'août classaient le correctif en « Bug Fixes » sans mentionner la sécurité, et l'avis est venu 53 jours plus tard, après un signalement d'un utilisateur GitHub nommé SunandM. Autre exemple récent de gestion de faille critique côté éditeur : la faille SonicWall SMA1000 exploitée.

Source

The Hacker News, SAP Discloses Critical CVSS 10 Flaw in Cloud SDK for Python.