CVE-2025-31324
Missing Authorization check in SAP NetWeaver (Visual Composer development server)
En resumen
El cargador de metadatos del SAP NetWeaver Visual Composer no verifica quién sube archivos, permitiendo que cualquiera cargue binarios maliciosos. Esto puede comprometer completamente la seguridad, los datos y el funcionamiento del servidor.
Detalle técnico
El SAP NetWeaver Visual Composer Metadata Uploader carece de validación de autorización (CWE-434) en la carga de archivos, permitiendo que agentes no autenticados envíen binarios ejecutables. Un atacante puede lograr ejecución remota de código y comprometer completamente la confidencialidad, integridad y disponibilidad del sistema objetivo.
Resumen generado y traducido por IA a partir de la descripción oficial.
SAP NetWeaver Visual Composer Metadata Uploader is not protected with a proper authorization, allowing unauthenticated agent to upload potentially malicious executable binaries that could severely harm the host system. This could significantly affect the confidentiality, integrity, and availability of the targeted system.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
SAP_SE · SAP NetWeaver (Visual Composer development server)PoCs públicas encontradas — 20
githubgithub.com/redrays-io/CVE-2025-31324★ 24githubgithub.com/antichainalysis/sap-netweaver-0day-CVE-2025-31324★ 22githubgithub.com/Onapsis/Onapsis_CVE-2025-31324_Scanner_Tools★ 12githubgithub.com/Onapsis/Onapsis-Mandiant-CVE-2025-31324-Vuln-Compromise-Assessment★ 9githubgithub.com/NULLTRACE0X/CVE-2025-31324★ 8githubgithub.com/ODST-Forge/CVE-2025-31324_PoC★ 6githubgithub.com/rf-peixoto/sap_netweaver_cve-2025-31324-★ 5githubgithub.com/rxerium/CVE-2025-31324★ 4githubgithub.com/aristois913/CVE-2025-31324★ 3githubgithub.com/nullcult/CVE-2025-31324-File-Upload★ 2githubgithub.com/nairuzabulhul/nuclei-template-cve-2025-31324-check★ 1githubgithub.com/respondiq/jsp-webshell-scanner★ 1githubgithub.com/moften/CVE-2025-31324-NUCLEI★ 1githubgithub.com/abrewer251/CVE-2025-31324_PoC_SAP★ 1githubgithub.com/JonathanStross/CVE-2025-31324★ 1githubgithub.com/moften/CVE-2025-31324★ 0githubgithub.com/BlueOWL-overlord/Burp_CVE-2025-31324★ 0githubgithub.com/Alizngnc/SAP-CVE-2025-31324★ 0githubgithub.com/sug4r-wr41th/CVE-2025-31324★ 0githubgithub.com/harshitvarma05/CVE-2025-31324-Exploits★ 0⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
https://me.sap.com/notes/3594142https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/https://url.sap/sapsecuritypatchdayhttps://www.bleepingcomputer.com/news/security/sap-fixes-suspected-netweaver-zero-day-exploited-in-attacks/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-31324https://www.theregister.com/2025/04/25/sap_netweaver_patch/