CVE-2026-41100
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W M365 Copilot występuje niewłaściwa kontrola dostępu, która pozwala autoryzowanemu atakującemu na lokalne przeprowadzenie ataku typu spoofing. Podatność umożliwia podszycie się pod inne zasoby lub użytkownika w środowisku lokalnym.
Ocena ryzyka
Atakujący z ważnymi uprawnieniami może podszyć się pod inne zasoby lub użytkownika, co może prowadzić do nieautoryzowanych działań. Może to naruszyć zaufanie do danych i procesów w organizacji.
Rekomendacja
Zastosuj aktualizacje zabezpieczeń Microsoft dla M365 Copilot. Monitoruj nietypowe działania związane z podszywaniem się i ogranicz uprawnienia do niezbędnego minimum.
Inne podatności w M365 Copilot
Zobacz wszystkie- CVE-2026-85885Krytyczne
Nieprawidłowa neutralizacja specjalnych elementów używanych w poleceniu (iniekcja poleceń) w M365 Copilot pozwala uwierzytelnionemu atakującemu na podniesienie uprawnień przez sieć.
- CVE-2026-50517Krytyczne
Deserializacja niezaufanych danych w M365 Copilot umożliwia autoryzowanemu atakującemu wykonanie kodu przez sieć.
- CVE-2026-41106Krytyczne
Podatność typu 'open redirect' w M365 Copilot umożliwia nieautoryzowanemu atakującemu przekierowanie użytkownika na złośliwą stronę, co może prowadzić do eskalacji uprawnień w sieci.
- CVE-2026-54130Krytyczne
Brak uwierzytelnienia dla krytycznej funkcji w M365 Copilot umożliwia nieautoryzowanemu atakującemu ujawnienie informacji w sieci.
- CVE-2026-42824Średnie
W M365 Copilot stwierdzono podatność command injection, która umożliwia nieautoryzowanemu atakującemu ujawnienie informacji przez sieć.
- CVE-2026-85887Wysokie
Nieprawidłowe przypisanie uprawnień do krytycznego zasobu w M365 Copilot pozwala autoryzowanemu atakującemu na ujawnienie informacji przez sieć.
- CVE-2026-42827Średnie
W M365 Copilot występuje podatność na wstrzykiwanie poleceń (command injection) z powodu nieprawidłowego neutralizowania specjalnych elementów używanych w poleceniu. Nieautoryzowany atakujący może ujawnić informacje przez sieć.
- CVE-2026-42893Wysokie
W M365 Copilot występuje niewłaściwe neutralizowanie specjalnych elementów używanych w poleceniach, co prowadzi do podatności na atak typu 'command injection'. Taki atak umożliwia nieautoryzowanemu napastnikowi manipulację w sieci.
Oryginalny opis (angielski, źródło NVD)
Improper access control in M365 Copilot allows an authorized attacker to perform spoofing locally.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS