Im Mittelpunkt des Updates steht CVE-2026-58231, eine kritische Schwachstelle in SAP Commerce Cloud (Data Hub Adapter). SAP bewertet das Problem indirekt über den CVSS-Wert von 10,0 als maximal kritisch. Die auf CVE.org veröffentlichte Beschreibung nennt als Ursache unzureichende Autorisierungsprüfungen und mangelnde Eingabevalidierung.
Demnach kann ein nicht authentifizierter Angreifer einen voreingestellten Authentifizierungs-Client ausnutzen und speziell gestaltete Eingaben an bestimmte Funktionen übermitteln. Gelingt die Ausnutzung, ist laut CVE.org die Ausführung beliebigen Codes möglich. Zudem könnten interne Komponenten kompromittiert werden, was hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der Anwendung hätte.
Die SAP-Sicherheitsfirma Onapsis empfiehlt Kunden, auf eine fehlerbereinigte Commerce-Cloud-Version zu patchen und die aktualisierte SAP Commerce Cloud danach neu auszurollen. Als Übergangslösung bis zur Installation des Updates verweist Onapsis auf ein IP Filter Set, mit dem sich der Zugriff auf den anfälligen Endpunkt begrenzen lässt.
Zusätzlich hat SAP im August-2026-Update drei weitere kritische Schwachstellen behoben. Laut Onapsis beseitigt CVE-2026-44758 ein Problem in einer Servlet-Komponente, die für serverseitige Template-Injection und serverseitige Request-Forgery anfällig ist. Beides könne den Weg für Befehlsausführung ebnen. Der von SAP bereitgestellte Patch entfernt nach Angaben von Onapsis die verwundbare Servlet-Komponente.
Mit CVE-2026-44772 schließt SAP außerdem eine weitere anfällige Servlet-Komponente. Diese erlaubt es laut Beschreibung, dass ein Angreifer mit geringen Rechten speziell präparierte Eingaben einsendet, wodurch die Anwendung von einer externen Quelle kontrollierte Inhalte abruft und verarbeitet. Am Ende könne dies zur Ausführung beliebiger Befehle auf dem zugrunde liegenden Host führen.
Nach dem Einspielen des Patches zu CVE-2026-44772 müssen Kunden laut Onapsis zusätzlich die neue Systemeigenschaft „Secure Transformer“ pflegen und dort eine Liste erlaubter Hosts für die Bereitstellung von XSL-Dateien hinterlegen. Nur XSL-Dateien von diesen Hosts dürften dann von der verwundbaren Servlet-Komponente verarbeitet werden.