CVE-2026-33102

Open Redirect w Microsoft 365 Copilot umożliwia eskalację uprawnień

CVSS 9.3v3.1pub. 2026-04-23upd. 2026-04-29

Podatność typu open redirect w Microsoft 365 Copilot pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień za pośrednictwem sieci. Ze względu na zakres wpływu (Scope: Changed) oraz wysoki wpływ na poufność i integralność, podatność otrzymała ocenę CRITICAL z wynikiem CVSS 9.3.

▸ Pokaż oryginał (EN)

Url redirection to untrusted site ('open redirect') in M365 Copilot allows an unauthorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Podatność polega na możliwości przekierowania użytkownika do niezaufanej witryny zewnętrznej poprzez spreparowany URL (CWE-601 — URL Redirection to Untrusted Site). Atakujący może nakłonić ofiarę do kliknięcia złośliwego odnośnika, który pozornie wskazuje na zaufaną domenę Microsoft 365 Copilot, a w rzeczywistości przekierowuje na kontrolowaną przez atakującego stronę. Interakcja użytkownika jest wymagana (UI:R), jednak atakujący nie potrzebuje żadnych wcześniejszych uprawnień ani uwierzytelnienia. Mechanizm ten może zostać wykorzystany do wyłudzenia danych uwierzytelniających lub realizacji dalszych etapów ataku z podwyższonymi uprawnieniami.

Skutki

Atakujący może doprowadzić do eskalacji uprawnień w kontekście sieciowym oraz narazić na wysokie ryzyko naruszenia poufności i integralności danych ofiary, potencjalnie uzyskując dostęp do zasobów wykraczających poza pierwotny zakres aplikacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33102. Dodatkowo zaleca się edukację użytkowników w zakresie weryfikacji adresów URL przed kliknięciem odnośników oraz stosowanie filtrowania proxy z inspekcją ruchu wychodzącego.