Microsoft - CVE-2026-32201
Date de publication :
Il s'agit d'une vulnérabilité dans le mécanisme de validation des entrées de Microsoft SharePoint Server.
SharePoint Server est la solution de gestion de contenu et de collaboration sur site de Microsoft, déployée dans les environnements d'entreprise pour le partage de documents, les flux de travail et la gestion des accès.
Le défaut est déclenché à distance, sans authentification ni interaction utilisateur. La manifestation suspectée est de type cross-site scripting (XSS), résultant d'une absence de contrôle adéquat des données soumises au serveur.
Elle permet à un attaquant non authentifié d'accéder à des informations sensibles et de modifier des données exposées, sans affecter la disponibilité du service.
Informations
La faille est activement exploitée : Oui
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Injection de code indirecte (à distance) (XSS)
Exploitation
CWE-20 : Improper Input Validation
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Microsoft SharePoint Server Subscription Edition versions antérieures à 16.0.19725.20210
• Microsoft SharePoint Server 2019 toutes versions
• Microsoft SharePoint Enterprise Server 2016 toutes versions
Solutions ou recommandations
• Microsoft SharePoint Server 2019 version 16.0.10417.20114 et supérieures (KB5002854)
• Microsoft SharePoint Enterprise Server 2016 version 16.0.5548.1003 et supérieures (KB5002861)