Se ha identificado una vulnerabilidad crítica, CVE-2026-76969, en el Modelo de Programación de Aplicaciones en la Nube de SAP (CAP). La vulnerabilidad afecta a la biblioteca @sap/cds-mtxs utilizada en aplicaciones CAP multitenant con la extensibilidad habilitada y podría permitir que un atacante no autenticado obtuviera credenciales confidenciales y, posteriormente, manipulara los datos de los tenants. Según algunas fuentes, el problema se debe a una validación insuficiente de determinadas funcionalidades dentro de las aplicaciones afectadas.

Si se explotara con éxito, un atacante podría revelar credenciales confidenciales y utilizarlas indebidamente para sustituir o eliminar datos de los inquilinos, lo que tendría un impacto significativo en la integridad y la disponibilidad de la aplicación. También podría producirse una exposición parcial de los datos empresariales.

A diferencia de muchas vulnerabilidades relacionadas con credenciales, su explotación no requiere autenticación previa ni interacción por parte del usuario. Un atacante puede enviar solicitudes especialmente diseñadas directamente a una aplicación vulnerable a través de la red.

En el momento de redactar este informe, hay pocos datos públicos sobre una explotación activa o código de prueba de concepto (PoC) disponible públicamente. Sin embargo, a la vulnerabilidad se le ha asignado una puntuación CVSS de 9,4 (Crítica), lo que refleja la gravedad del impacto potencial.

Componentes afectados

• Producto: SAP Cloud Application Programming Model (CAP)
• Componente: @sap/cds-mtxs
• Implementaciones afectadas:
  • Aplicaciones CAP multitenant
  • Entornos con la extensibilidad habilitada

Las versiones afectadas notificadas incluyen:

• @sap/cds-mtxs <= 1.18.3
• @sap/cds-mtxs <= 2.7.6
• @sap/cds-mtxs <= 3.9.6
• @sap/cds-mtxs <= 4.0.2

Las organizaciones deben consultar las directrices de seguridad de SAP para identificar la versión parcheada adecuada para su implementación.

Detalles técnicos

CVE-2026-76969 afecta a la funcionalidad utilizada por la biblioteca @sap/cds-mtxs en entornos SAP CAP multitenant. La información pública indica que la biblioteca no realiza comprobaciones suficientes en determinadas funciones cuando la extensibilidad está habilitada.

Un atacante no autenticado podría enviar solicitudes especialmente diseñadas a una aplicación vulnerable y obtener credenciales confidenciales. Estas credenciales podrían utilizarse posteriormente para realizar operaciones no autorizadas sobre los datos de los inquilinos.

Si se aprovecha con éxito esta vulnerabilidad, un atacante podría:

• Obtener credenciales confidenciales
• Sustituir datos de los inquilinos
• Eliminar datos de los inquilinos
• Interrumpir la disponibilidad de la aplicación
• Acceder a partes de los datos empresariales

La vulnerabilidad reviste especial importancia en entornos multitenant, donde una intrusión podría afectar a los datos pertenecientes a uno o varios inquilinos alojados en la aplicación afectada.

Gravedad y explotación

• Puntuación CVSS: 9,4 (crítica)
• Vector de ataque: Red
• Privilegios necesarios: Ninguno
• Interacción del usuario: Ninguna

La vulnerabilidad es especialmente preocupante porque:

• La explotación puede realizarse de forma remota a través de la red
• No se requiere autenticación
• No se requiere la intervención del usuario
• Se pueden revelar credenciales confidenciales
• Una explotación exitosa puede dar lugar a la manipulación o eliminación de datos de los usuarios

En el momento de redactar este informe, los informes públicos sobre explotaciones activas siguen siendo limitados y no se ha identificado ninguna prueba de concepto (PoC) pública ampliamente citada. No obstante, las organizaciones deben tratar esta vulnerabilidad como de alta prioridad debido a su gravedad crítica y a su potencial impacto en el negocio.

Actividad de las amenazas

Los informes públicos actuales se centran principalmente en la divulgación de la vulnerabilidad y en las directrices de corrección, más que en campañas de explotación confirmadas. En la actualidad, hay pocas pruebas de una explotación generalizada en el entorno real.

Sin embargo, la combinación de:

• Accesibilidad a la red
• Ausencia de requisitos de autenticación
• Divulgación de credenciales
• Un elevado impacto en la integridad y la disponibilidad

convierte a esta vulnerabilidad en un objetivo atractivo para los atacantes una vez identificados los sistemas afectados.

Las organizaciones que utilicen aplicaciones SAP CAP deben tener en cuenta que las implementaciones vulnerables accesibles desde redes no fiables o externas pueden convertirse en objetivo tras la divulgación pública.

Qué significa esto para las organizaciones

Las organizaciones que utilicen aplicaciones SAP CAP multitenant con la extensibilidad habilitada deben evaluar su exposición de inmediato.

A diferencia de muchas vulnerabilidades de aplicaciones que requieren la interacción del usuario o un acceso autenticado, la CVE-2026-76969 puede ser explotada por atacantes no autenticados a través de la red. Una explotación exitosa podría permitir a los atacantes obtener credenciales confidenciales y, posteriormente, modificar o eliminar datos de los inquilinos, lo que podría afectar a las operaciones empresariales y a la confianza de los clientes.

Debido al carácter crítico para el negocio de muchas implementaciones de SAP, la interrupción o la manipulación de los datos de los inquilinos puede tener consecuencias operativas significativas que vayan más allá de la propia aplicación afectada.

Medidas de mitigación recomendadas

1. Aplicar las actualizaciones del proveedor

• Identificar las implementaciones de CAP afectadas que utilicen @sap/cds-mtxs
• Actualizar a las versiones corregidas recomendadas por SAP
• Dar prioridad a los entornos conectados a Internet y de producción

2. Revisar las configuraciones de CAP multitenant

• Identificar las aplicaciones con la extensibilidad habilitada
• Verificar los controles de aislamiento de los inquilinos
• Revisar las configuraciones de las aplicaciones en busca de exposiciones innecesarias