CVE-2026-23652

Command injection w Microsoft Power Pages umożliwia zdalne wykonanie kodu

CVSS 10.0v3.1pub. 2026-05-22upd. 2026-05-27

Podatność typu command injection w Microsoft Power Pages pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu przez sieć. Uzyskała maksymalną ocenę CVSS 10.0, co czyni ją podatnością krytyczną wymagającą natychmiastowej reakcji.

▸ Pokaż oryginał (EN)

Improper neutralization of special elements used in a command ('command injection') in Microsoft Power Pages allows an unauthorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej neutralizacji znaków specjalnych w danych wejściowych przekazywanych do poleceń systemowych (CWE-77: command injection). Atakujący może przesłać spreparowane dane przez sieć bez konieczności posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika. Wektor ataku sieciowy (AV:N), brak wymagań co do uprawnień (PR:N) i brak interakcji użytkownika (UI:N) sprawiają, że atak może być przeprowadzony w pełni automatycznie.

Skutki

Atakujący może wykonać dowolny kod na serwerze hostującym Microsoft Power Pages, uzyskując pełną kontrolę nad poufnością, integralnością i dostępnością systemu — w tym potencjalnie nad zasobami wykraczającymi poza bezpośredni zakres podatnej usługi (S:C).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-23652. Do czasu wdrożenia poprawki zaleca się ograniczenie dostępu sieciowego do instancji Microsoft Power Pages oraz monitorowanie ruchu pod kątem anomalii.