# CVE-2026-89111 : OAuth2 SSRF dans le SAP Cloud SDK pour Python

> Le SAP Cloud SDK for Python contient une vulnérabilité SSRF OAuth2 affectant des applications multi-tenant BTP, permettant à un attaquant contrôlant le tenant_subdomain de rediriger les requêtes de token OAuth2 et d’exfiltrer des…

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-89111-sap
- Sévérité : Critique · CVSS 10.0 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : SAP
- Produits : SAP Cloud SDK for Python
- Correctif disponible : oui · PoC public : non · Exploitée : non
- Publiée le 14 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 14 octobre 2026 (13 octobre 2026)
- Mots clés : sap, ssrf-oauth2

## Action recommandée

Mettez à jour le SAP Cloud SDK for Python vers la version corrigée et restreignez les domaines autorisés pour les redirections OAuth2.

## Le contexte

Le SAP Cloud SDK for Python contient une vulnérabilité SSRF OAuth2 affectant des applications multi-tenant BTP, permettant à un attaquant contrôlant le tenant_subdomain de rediriger les requêtes de token OAuth2 et d’exfiltrer des credentials.

## Vecteur d'attaque

SSRF via redirection des requêtes OAuth2.

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| SAP Cloud SDK for Python | OAuth2 SSRF scenarii multi-tenant | version corrigée identifiée par l’éditeur |

Statut du correctif : Correctifs publiés par SAP

## La vulnérabilité

### CVE-2026-89111 : SSRF OAuth2

SAP Cloud SDK for Python · CVSS 10.0

OAuth2 SSRF dans le SAP Cloud SDK for Python permettant l’exfiltration de credentials via redirection manipulée.

Impact : Exfiltration de tokens et secrets OAuth2.

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`

## Recommandations

- Mettre à jour le SAP Cloud SDK for Python vers la version corrigée.
- Limiter les redirections OAuth2 et valider les endpoints autorisés.

## Ce qu'il faut retenir

Mettez à jour le SAP Cloud SDK for Python vers la version corrigée et restreignez les domaines autorisés pour les redirections OAuth2.

Analyse issue du bulletin de veille Kreomnis du 14 octobre 2026 (fenêtre : 13 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories](https://github.com/advisories/GHSA-m3j7-wp2j-mhc3) (vendor)
- [NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-89111) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-89111-sap. Analyse à usage défensif uniquement.