Suivi KEV › Microsoft

CVE-2025-24989 Microsoft Power Pages : vulnérabilité de contrôle d'accès incorrect

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 21 février 2025.

  • Produit : Microsoft Power Pages
  • Ajoutée au catalogue : 21 février 2025
  • Échéance CISA : 14 mars 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-284
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 2 %

Microsoft Power Pages contient une vulnérabilité de contrôle d'accès incorrect qui permet à un attaquant non autorisé d'élever des privilèges sur un réseau, potentiellement en contournant le contrôle d'enregistrement des utilisateurs.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · msrc.microsoft.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 1,6 %, parmi les 24 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • power pages : toutes versions

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Contrôle d'accès inapproprié (CWE-284) : Le produit ne restreint pas ou restreint incorrectement l'accès à une ressource par un acteur non autorisé.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Microsoft Power Pages Improper Access Control Vulnerability

Microsoft Power Pages contains an improper access control vulnerability that allows an unauthorized attacker to elevate privileges over a network potentially bypassing the user registration control.

Required action: Apply mitigations per vendor instructions, follow BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

← Toutes les failles Microsoft · Suivi KEV