Microsoft · Microsoft
CVE-2026-42897
Microsoft Exchange Server Spoofing Vulnerability
De quoi s'agit-il
Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.
CISA: Microsoft Exchange Server contains a cross-site scripting vulnerability during web page generation in Outlook Web Access and when certain interaction conditions are met, arbitrary JavaScript can be executed in the browser context.
Que faire
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Échéance pour les agences fédérales américaines : 29 mai 2026
Autres failles exploitées chez Microsoft
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 13 oct. 2026 | Command Injection | Windows | Élevé 8,8 | 9,8% |
| 25 sept. 2026 | Code Injection | SharePoint | Élevé 8,8 | 8,2% |
| 8 sept. 2026 | Link Following | Windows | Élevé 7,8 | 0,4% |
| 8 sept. 2026 | Heap-Based Buffer Overflow | Windows | Élevé 7,8 | 0,4% |
| 26 août 2026 | Remote Code Execution | SQL Server | Élevé 8,8 | 57% |
| 18 août 2026 | Double Free | Internet Key Exchange (IKE) Service Extensions | Critique 9,8 | 77% |
| 18 août 2026 | Weak Authentication | SharePoint | Critique 9,1 | 70% |
| 11 août 2026 | Windows Ancillary Function Driver for WinSock Use-After-Free | Windows Ancillary Function Driver for WinSock | Élevé 7,0 | 0,3% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.