Pular para o conteúdo

Uma equipe editorial e uma comunidade que criam com IA

vibecoding.incEntre no Discord
← Todos os artigos

Notícia · SAP · 2 min de leitura

Data do fato: · Publicado:

SAP corrige quatro falhas de segurança em seus SDKs de agentes de IA

O Patch Day de novembro de 2026 da SAP corrigiu quatro avisos de segurança do GitHub em seus SDKs de código aberto para IA e agentes, incluindo uma falha de verificação JWT e um bug de path traversal no Agent Memory.

A SAP publicou quatro avisos de segurança do GitHub (GitHub Security Advisories) para seus SDKs de código aberto de IA e agentes como parte do Patch Day de novembro de 2026, anunciado em 10 de novembro de 2026, que também incluiu 35 novas notas de segurança. Os avisos cobrem a verificação incorreta de assinatura JWT no IASContextProvider, um bug de path traversal no módulo Agent Memory, uma falha de vazamento de credenciais no SDK de IA para JavaScript e um problema de tomada de controle do sandbox entre tenants.

O que mudou

  • CVE-2026-109799 (GHSA-93m8-crj2-v997, CVSS 7.5): verificação incorreta de assinatura JWT no IASContextProvider no SAP Cloud SDK for Python, afetando versões anteriores a 0.63.1, permitia que um chamador remoto enviasse um token autoassinado indicando um tenant ou usuário vítima, com a identidade falsificada se propagando para logs, eventos de auditoria e roteamento de tenants.
  • CVE-2026-120013 (GHSA-28c8-457r-4cf6, CVSS 7.5): bug de path traversal no módulo Agent Memory do SAP Cloud SDK for Python, causado porque create_client(tenant=...) não validava o parâmetro tenant fornecido por quem chama, corrigido na versão 0.50.0.
  • CVE-2026-120012 (GHSA-8g7j-49xg-8wf3, CVSS 7.5): falha de vazamento de credenciais e divulgação de informações no SAP Cloud SDK for AI for JavaScript, corrigida na versão 2.18.0.
  • CVE-2026-109797 (GHSA-93c9-96j8-4vg9, CVSS 7.1): falha de tomada de controle do sandbox entre tenants no SAP/astonish.

O que isso significa para quem constrói com os SDKs de IA da SAP

Essas vulnerabilidades estão diretamente dentro das ferramentas de agentes de IA da SAP, incluindo seus módulos de memória de agente e de contexto entre tenants, então qualquer equipe que construa agentes de IA multi-tenant sobre os SDKs da SAP poderia ter permitido que um tenant se passasse por outro ou lesse os dados dele. Equipes que usam SAP Cloud SDK for Python, SAP Cloud SDK for AI for JavaScript ou SAP/astonish devem verificar a versão instalada em relação à versão corrigida indicada em cada aviso.

Correções e disponibilidade

Os quatro avisos foram publicados em 10 de novembro de 2026 em seus respectivos repositórios da SAP no GitHub: bug de path traversal no módulo Agent Memory do SAP Cloud SDK for Python, divulgação de informações no SAP Cloud SDK for AI (JavaScript) e tomada de controle do sandbox entre tenants no SAP/astonish. As versões corrigidas são 0.63.1 para a falha JWT, 0.50.0 para o Agent Memory e 2.18.0 para o SDK de JavaScript.

Fontes

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.

SAP corrige quatro falhas de segurança em seus SDKs de agentes de IA | vibecoding.inc