Microsoft - CVE-2026-32201

Date de publication :

Il s'agit d'une vulnérabilité dans le mécanisme de validation des entrées de Microsoft SharePoint Server.

SharePoint Server est la solution de gestion de contenu et de collaboration sur site de Microsoft, déployée dans les environnements d'entreprise pour le partage de documents, les flux de travail et la gestion des accès.

Le défaut est déclenché à distance, sans authentification ni interaction utilisateur. La manifestation suspectée est de type cross-site scripting (XSS), résultant d'une absence de contrôle adéquat des données soumises au serveur.

Elle permet à un attaquant non authentifié d'accéder à des informations sensibles et de modifier des données exposées, sans affecter la disponibilité du service.

Informations

La faille est activement exploitée : Oui

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

•   Atteinte à la confidentialité des données
•   Atteinte à l'intégrité des données
•   Injection de code indirecte (à distance) (XSS)

Exploitation

La vulnérabilité exploitée est du type
CWE-20 : Improper Input Validation

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

•   Microsoft SharePoint Server Subscription Edition versions antérieures à 16.0.19725.20210
•   Microsoft SharePoint Server 2019 toutes versions
•   Microsoft SharePoint Enterprise Server 2016 toutes versions

Solutions ou recommandations

•   Microsoft SharePoint Server Subscription Edition version 16.0.19725.20210 et supérieures (KB5002853)
•   Microsoft SharePoint Server 2019 version 16.0.10417.20114 et supérieures (KB5002854)
•   Microsoft SharePoint Enterprise Server 2016 version 16.0.5548.1003 et supérieures (KB5002861)