CVE-2026-42824
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
W M365 Copilot stwierdzono podatność command injection, która umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
Ocena ryzyka
Ryzyko polega na możliwości wycieku wrażliwych informacji przez nieautoryzowanego atakującego.
Rekomendacja
Zaleca się zastosowanie poprawek bezpieczeństwa od Microsoftu oraz monitorowanie sieci pod kątem podejrzanej aktywności.
Inne podatności w M365 Copilot
Zobacz wszystkie- CVE-2026-42893Wysokie
W M365 Copilot występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach, co prowadzi do podatności na atak typu 'command injection'. Taki atak umożliwia nieautoryzowanemu napastnikowi manipulację w sieci.
- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-50517Krytyczne
Deserializacja niezaufanych danych w M365 Copilot umożliwia autoryzowanemu atakującemu wykonanie kodu przez sieć.
- CVE-2026-41106Krytyczne
Podatność typu 'open redirect' w M365 Copilot umożliwia nieautoryzowanemu atakującemu przekierowanie użytkownika na złośliwą stronę, co może prowadzić do eskalacji uprawnień w sieci.
- CVE-2026-54130Krytyczne
Brak uwierzytelnienia dla krytycznej funkcji w M365 Copilot umożliwia nieautoryzowanemu atakującemu ujawnienie informacji w sieci.
- CVE-2026-85887Wysokie
Nieprawidłowe przypisanie uprawnień do krytycznego zasobu w M365 Copilot pozwala autoryzowanemu atakującemu na ujawnienie informacji przez sieć.
- CVE-2026-42827Średnie
W M365 Copilot występuje podatność na wstrzykiwanie poleceń (command injection) z powodu nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniu. Nieautoryzowany atakujący może ujawnić informacje przez sieć.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of special elements used in a command ('command injection') in M365 Copilot allows an unauthorized attacker to disclose information over a network.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS