Podatność w Microsoft Partner Center polega na nieprawidłowej autoryzacji, która umożliwia atakującemu posiadającemu podstawowy dostęp eskalację uprawnień przez sieć. Ocena CVSS 9.3 (CRITICAL) wskazuje na poważne zagrożenie integralności i dostępności systemu.
▸ Pokaż oryginał (EN)
Improper authorization in Microsoft Partner Center allows an authorized attacker to elevate privileges over a network.
Błąd wynika z niewłaściwej implementacji mechanizmów autoryzacji (CWE-20 — nieprawidłowa walidacja danych wejściowych) w Microsoft Partner Center. Atakujący, który posiada już pewien poziom dostępu do systemu, może poprzez sieć wysłać odpowiednio spreparowane żądanie, które zostanie przetworzone z wyższymi uprawnieniami niż należne. Wektor ataku sieciowy (AV:N) przy braku wymagań co do złożoności (AC:L) oznacza, że atak można przeprowadzić zdalnie bez szczególnych warunków wstępnych, choć wymagana jest interakcja użytkownika (UI:R).
Atakujący może uzyskać podwyższone uprawnienia w środowisku Microsoft Partner Center, co prowadzi do poważnych naruszeń integralności danych oraz dostępności usługi (I:H, A:H zgodnie z wektorem CVSS). Zakres podatności wykracza poza komponent bazowy (S:C — Changed Scope).
Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o aktualizacji dostępne są w Microsoft Security Response Center pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-29814
Microsoft Partner Center — wersje wskazane w referencjach producenta
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:HMicrosoft Partner Center
APPMicrosoftwszystkie wersje
Powiązane podatności
Privilege Escalation w Microsoft Partner Center przez nieprawidłową kontrolę dostępu
Nieprawidłowa autoryzacja w Microsoft Partner Center — privilege escalation
An improper access control vulnerability in Partner.Microsoft.com allows an a unauthenticated attacker to elev...
Externally controlled reference to a resource in another sphere in Microsoft Partner Center allows an unauthor...
Atak na łańcuch dostaw DAEMON Tools Lite — trojanizacja instalatorów