Microsoft SharePoint Server contient une vulnérabilité non spécifiée qui permet à un attaquant non authentifié, qui a obtenu l'accès pour usurper des jetons d'authentification JWT, de les utiliser pour exécuter une attaque réseau. Cette attaque contourne l'authentification, permettant à l'attaquant d'obtenir des privilèges d'administrateur.
Action requise :Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Versions concernées
sharepoint server : version 2019
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Implémentation incorrecte d'algorithme d'authentification (CWE-303) : Les exigences du produit dictent l'utilisation d'un algorithme d'authentification établi, mais l'implémentation de cet algorithme est incorrecte.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Microsoft SharePoint Server Privilege Escalation Vulnerability
Microsoft SharePoint Server contains an unspecified vulnerability that allows an unauthenticated attacker, who has gained access to spoofed JWT authentication tokens, to use them for executing a network attack. This attack bypasses authentication, enabling the attacker to gain administrator privileges.
Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Autres failles exploitées de Microsoft SharePoint Server
CVE-2026-56164 — Microsoft SharePoint Server : vulnérabilité d'absence d'authentification pour une fonction critique (14 juillet 2026)
CVE-2026-45659 — Microsoft SharePoint Server : vulnérabilité de désérialisation de données non fiables (1 juillet 2026)
CVE-2026-32201 — Microsoft SharePoint Server : validation incorrecte des entrées (14 avril 2026)
CVE-2023-24955 — Microsoft SharePoint Server : vulnérabilité d'injection de code (26 mars 2024)