CVE-2026-32208
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność typu Cross-Site Scripting (XSS) w Microsoft Entra ID umożliwia autoryzowanemu atakującemu przeprowadzenie ataku polegającego na fałszowaniu treści w sieci. Luka wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
Ocena ryzyka
Autoryzowany atakujący może wykorzystać tę podatność do wyświetlania fałszywych treści użytkownikom, co może prowadzić do kradzieży danych uwierzytelniających lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Należy niezwłocznie zastosować aktualizację bezpieczeństwa dostarczoną przez Microsoft dla Microsoft Entra ID. Dodatkowo warto wdrożyć mechanizmy filtrowania danych wejściowych oraz Content Security Policy (CSP).
Inne podatności w Microsoft Entra ID
Zobacz wszystkie- CVE-2026-62916Krytyczne
Obejście uwierzytelniania przy użyciu alternatywnej ścieżki lub kanału w Microsoft Entra ID umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.
- CVE-2026-69836Krytyczne
Deserializacja niezaufanych danych w Microsoft Entra ID umożliwia nieautoryzowanemu atakującemu wykonanie kodu w sieci.
- CVE-2026-42901Krytyczne
Błąd walidacji pochodzenia w Microsoft Entra ID pozwala nieautoryzowanemu atakującemu na eskalację uprawnień przez sieć.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Entra ID allows an authorized attacker to perform spoofing over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS