CVE-2026-41106
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność typu 'open redirect' w M365 Copilot umożliwia nieautoryzowanemu atakującemu przekierowanie użytkownika na złośliwą stronę, co może prowadzić do eskalacji uprawnień w sieci.
Ocena ryzyka
Atakujący może wykorzystać to przekierowanie do kradzieży danych uwierzytelniających lub przeprowadzenia ataku phishingowego, co zagraża bezpieczeństwu organizacji.
Rekomendacja
Należy natychmiast zastosować aktualizację zabezpieczeń dostarczoną przez Microsoft dla M365 Copilot oraz rozważyć wdrożenie mechanizmów walidacji URL-i.
Inne podatności w M365 Copilot
Zobacz wszystkie- CVE-2026-42893Wysokie
W M365 Copilot występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach, co prowadzi do podatności na atak typu 'command injection'. Taki atak umożliwia nieautoryzowanemu napastnikowi manipulację w sieci.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-50517Krytyczne
Deserializacja niezaufanych danych w M365 Copilot umożliwia autoryzowanemu atakującemu wykonanie kodu przez sieć.
- CVE-2026-54130Krytyczne
Brak uwierzytelnienia dla krytycznej funkcji w M365 Copilot umożliwia nieautoryzowanemu atakującemu ujawnienie informacji w sieci.
- CVE-2026-42824Średnie
W M365 Copilot stwierdzono podatność command injection, która umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2026-85887Wysokie
Nieprawidłowe przypisanie uprawnień do krytycznego zasobu w M365 Copilot pozwala autoryzowanemu atakującemu na ujawnienie informacji przez sieć.
- CVE-2026-42827Średnie
W M365 Copilot występuje podatność na wstrzykiwanie poleceń (command injection) z powodu nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniu. Nieautoryzowany atakujący może ujawnić informacje przez sieć.
Oryginalny opis (angielski, źródło NVD)
Url redirection to untrusted site ('open redirect') in M365 Copilot allows an unauthorized attacker to elevate privileges over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS