CVE-2026-50517
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
Deserializacja niezaufanych danych w M365 Copilot umożliwia autoryzowanemu atakującemu wykonanie kodu przez sieć.
Ocena ryzyka
Autoryzowany atakujący może zdalnie wykonać dowolny kod na serwerze M365 Copilot, co może prowadzić do kradzieży danych, eskalacji uprawnień lub przejęcia całej usługi.
Rekomendacja
Należy zastosować aktualizację bezpieczeństwa dostarczoną przez Microsoft dla M365 Copilot oraz monitorować środowisko pod kątem nietypowej aktywności.
Inne podatności w M365 Copilot
Zobacz wszystkie- CVE-2026-42893Wysokie
W M365 Copilot występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach, co prowadzi do podatności na atak typu 'command injection'. Taki atak umożliwia nieautoryzowanemu napastnikowi manipulację w sieci.
- CVE-2026-41106Krytyczne
Podatność typu 'open redirect' w M365 Copilot umożliwia nieautoryzowanemu atakującemu przekierowanie użytkownika na złośliwą stronę, co może prowadzić do eskalacji uprawnień w sieci.
- CVE-2026-54130Krytyczne
Brak uwierzytelnienia dla krytycznej funkcji w M365 Copilot umożliwia nieautoryzowanemu atakującemu ujawnienie informacji w sieci.
- CVE-2026-42824Średnie
W M365 Copilot stwierdzono podatność command injection, która umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2026-42827Średnie
W M365 Copilot występuje podatność na wstrzykiwanie poleceń (command injection) z powodu nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniu. Nieautoryzowany atakujący może ujawnić informacje przez sieć.
Oryginalny opis (angielski, źródło NVD)
Deserialization of untrusted data in M365 Copilot allows an authorized attacker to execute code over a network.