CVE-2026-42898

Code injection w Microsoft Dynamics 365 (on-premises) umożliwiający RCE

CVSS 9.9v3.1pub. 2026-05-12upd. 2026-05-14

Podatność typu code injection w Microsoft Dynamics 365 (on-premises) pozwala uwierzytelnionemu atakującemu na zdalne wykonanie kodu przez sieć. Ocena CVSS 9.9 oraz zakres ataku obejmujący inne systemy (Scope: Changed) czynią tę podatność krytyczną.

▸ Pokaż oryginał (EN)

Improper control of generation of code ('code injection') in Microsoft Dynamics 365 (on-premises) allows an authorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej kontroli generowania kodu (CWE-94 — Improper Control of Generation of Code). Atakujący posiadający konto w systemie może przesłać specjalnie spreparowane dane przez sieć, które są następnie interpretowane i wykonywane jako kod przez aplikację. Wektor ataku sieciowy przy niskiej złożoności i bez wymaganych interakcji użytkownika znacznie obniża próg wykorzystania podatności. Zakres ataku wykracza poza komponent podatny, co oznacza możliwość wpływu na zasoby poza bezpośrednim środowiskiem Dynamics 365.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem poprzez zdalne wykonanie dowolnego kodu, co prowadzi do naruszenia poufności, integralności i dostępności danych oraz infrastruktury.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w Microsoft Security Response Center pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42898

Kogo dotyczy

Microsoft Dynamics 365 (on-premises) — konkretne wersje wskazane w referencjach producenta (https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42898)