CVE-2026-42833

Code injection w Microsoft Dynamics 365 On-Premises — zdalne wykonanie kodu

CVSS 9.1v3.1pub. 2026-05-12upd. 2026-06-01

Podatność typu code injection w Microsoft Dynamics 365 (on-premises) umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu przez sieć. Pomimo wymogu posiadania uprawnień administratora, podatność uzyskała ocenę CRITICAL ze względu na potencjalne skutki obejmujące pełne przejęcie systemu.

▸ Pokaż oryginał (EN)

Improper control of generation of code ('code injection') in Microsoft Dynamics 365 (on-premises) allows an authorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej kontroli generowania kodu (CWE-250 — wykonanie z nadmiernymi uprawnieniami) w komponencie Microsoft Dynamics 365 w wersji on-premises. Atakujący posiadający uprawnienia w systemie może dostarczyć specjalnie spreparowane dane wejściowe, które zostają zinterpretowane i wykonane jako kod po stronie serwera. Wektor ataku jest sieciowy, nie wymaga interakcji użytkownika, a zakres ataku wykracza poza sam komponent (Scope: Changed), co wskazuje na możliwość wpływu na inne zasoby systemu.

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na wykonanie dowolnego kodu na serwerze, prowadząc do pełnej kompromitacji poufności, integralności i dostępności systemu oraz potencjalnie do przejęcia kontroli nad innymi powiązanymi zasobami infrastruktury.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42833