Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Microsoft opisal luke w SharePoint jako spoofing, to zdalne wykonanie kodu

CVE-2026-65660 w SharePoint Server 2016, 2019 i Subscription Edition pozwala uwierzytelnionemu napastnikowi wykonac kod. Poprawki sa od 11 sierpnia.

Karta wpisu: Microsoft opisal luke w SharePoint jako spoofing, to zdalne wykonanie kodu

Luka CVE-2026-65660 w SharePoint Server pozwala uwierzytelnionemu napastnikowi zdalnie wykonac kod, choc Microsoft w swoim biuletynie opisal ja jako spoofing z ocena 6.5 i nie przypisal jej wplywu na integralnosc ani dostepnosc. Pelne szczegoly techniczne opublikowal Dinh Ho Anh Khoa z Viettel Cyber Security. National Vulnerability Database ocenia ja na 8.8, a rekord CVE publikowany osobno przez Microsoft, zaktualizowany 11 wrzesnia, nazywa ja podatnoscia na zdalne wykonanie kodu. Oba rekordy wskazuja CWE-94, czyli wstrzykniecie kodu. Blad siedzi w sprawdzaniu listy SafeControls: komponent ToolPane, przetwarzajac znaczniki web part, odtwarza dyrektywy Register i wpisuje wartosci atrybutow miedzy cudzyslowy bez ich zabezpieczania.

Kogo dotyczy

SharePoint Server 2016, SharePoint Server 2019 i SharePoint Server Subscription Edition. Zespoly, ktore ocenily zgloszenie na podstawie biuletynu Microsoftu, zobaczyly umiarkowany spoofing zamiast bledu o ocenie bliskiej maksymalnej.

Co zrobic

Zainstalowac aktualizacje zabezpieczen z 11 sierpnia, ktore usuwaja te podatnosc.

TAB. 2

Źródła

1
The Hacker News — SharePoint Flaw Initially Listed as Spoofing by Microsoft Enables Authenticated RCEthehackernews.com
TAB. 3

Powiązane

3
06.11.2026PodatnościZłośliwe rozszerzenie przeglądarki może uruchomić kod przez asystenta AI na komputerze
06.11.2026PodatnościPaint: poprawka CVE-2026-83844 tylko przez Microsoft Store, nie przez Windows Update
06.11.2026PodatnościD-Link ostrzega przed niezałatanymi lukami w przełącznikach DGS-3130

Wszystkie wpisy →

Blog 24/7
06.11KAMSOFT ZSIRep akceptowała każdy certyfikat HTTPS, poprawka w wersji 2.12.3.1cert.pl06.11Atak na sterowniki chłodnicze Danfoss uszkodził towar w około 700 sklepach we Francjidarkreading.com06.11Złośliwe rozszerzenie przeglądarki może uruchomić kod przez asystenta AI na komputerzethehackernews.com06.11Paint: poprawka CVE-2026-83844 tylko przez Microsoft Store, nie przez Windows Updatethehackernews.com06.11D-Link ostrzega przed niezałatanymi lukami w przełącznikach DGS-3130bleepingcomputer.com06.11Cyberatak na Ahold Delhaize obetnie sprzedaż w IV kwartale o 200-250 mln eurosecurityweek.com06.11Pendrive Lenovo ThinkPlus FU100 z AES-256 zapisywał dane na nieszyfrowanej karcie SDsekurak.pl06.1120-latek z Trzcianki zaciągnął kredyty na 550 000 zł i przekazał je przestępcomsekurak.pl06.11Luka w obsłudze WPS w układach Wi-Fi pozwala wykonać kod na routerze bez hasłasekurak.pl06.11Sieć Białego Domu była wyjściem dla 28 usług residential proxyhelpnetsecurity.com