Aktywnie wykorzystywana w atakach
Microsoft Office Word Reliance on Untrusted Inputs in a Security Decision Vulnerability
Microsoft - Office · Figuruje w katalogu CISA KEV od 2026-02-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2026-21514
WysokieCVSS 7.8KEVStreszczenie
Zaufanie do niezweryfikowanych danych wejściowych w decyzji bezpieczeństwa w Microsoft Office Word umożliwia nieautoryzowanemu atakującemu ominięcie lokalnej funkcji zabezpieczeń.
Ocena ryzyka
Organizacja może być narażona na ataki, które wykorzystują tę podatność do obejścia zabezpieczeń, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Zaleca się aktualizację Microsoft Office Word do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów weryfikacji danych wejściowych.
Powiązane podatności
- CVE-2026-87701Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów w danych wyjściowych używanych przez komponent podrzędny (iniekcja) w Azure Cosmos DB pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85889Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w Azure AI Foundry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-83944Krytyczne
Nieprawidłowa kontrola dostępu w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-77903Krytyczne
Obejście uwierzytelniania poprzez podszywanie się (spoofing) w Microsoft Dataverse pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70200Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Logic Apps pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-70009Krytyczne
Nieprawidłowe ograniczenie ścieżki do katalogu (path traversal) w Azure Arc pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69865Krytyczne
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika w Microsoft Container Registry pozwala nieuwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-69399Krytyczne
Podatność typu Elevation of Privilege (podniesienie uprawnień) w usłudze Azure Arc. Szczegóły techniczne nie zostały podane w opisie.
- CVE-2026-76949Krytyczne
Podatność w bibliotece ash_authentication (Elixir) pozwala atakującemu, który zdoła umieścić w przeglądarce ofiary ciasteczko remember-me, zastąpić uwierzytelnioną sesję ofiary sesją własnego konta. Problem wynika z niezgodności kluczy sesji używanych przez mechanizm sprawdzający i odczytujący sesję, przez co logowanie remember-me jest wykonywane przy każdym żądaniu.
Oryginalny opis (angielski, źródło NVD)
Reliance on untrusted inputs in a security decision in Microsoft Office Word allows an unauthorized attacker to bypass a security feature locally.