在 SAP NetWeaver (Visual Composer 7.0 RT) 版本 7.30、 7.31、 7.40、 7.50 中，由于缺乏限制，以非管理员用户身份通过身份验证的攻击者可通过网络上传恶意文件并让其被系统处理，从而以 Java 服务器进程的特权运行操作系统命令。这些命令可能被用于读取或修改服务器上的任何信息，甚至关闭服务器，导致服务不可用。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

SAP Netweaver Visual Composer 不受限制的文件上传 (3084487)

high Nessus 插件 ID 301975

版本 1.1