W bibliotece SAP Cloud SDK dla Pythona odkryto krytyczną podatność typu SSRF (CVE-2026-89111) o maksymalnej ocenie CVSS 10.0. Luka pozwala atakującemu, który kontroluje subdomenę najemcy (tenant subdomain), na przejęcie poświadczeń OAuth2, takich jak client ID i client secret, poprzez przekierowanie żądania o token na własny serwer.
Problem wynika z niewłaściwego przetwarzania subdomeny najemcy podczas budowania adresu URL do żądania tokena. Choć SAP wydał poprawkę w wersji 0.45.2, późniejsze wersje (0.53.0 do 0.55.0) ponownie wprowadziły błąd w module Destination, ponieważ mechanizm sprawdzający nie został uwzględniony w nowym kodzie współdzielonym. Pełna ochrona została przywrócona dopiero w wersji 0.55.1.
Podatność dotyczy aplikacji wielodostępowych działających na SAP Business Technology Platform (BTP). Atakujący musi mieć możliwość manipulacji wartością subdomeny przekazywanej do SDK. Skutki zależą od uprawnień, jakie posiada skompromitowany klient aplikacji.
Jeśli nie można natychmiast zaktualizować biblioteki, SAP zaleca ręczne porównywanie subdomeny najemcy z listą zarejestrowanych najemców przed przekazaniem jej do SDK. Należy również upewnić się, że używana wersja biblioteki poprawnie odrzuca subdomeny zawierające znaki specjalne lub delimitery URL.
