Microsoft · Microsoft
CVE-2026-42897
Microsoft Exchange Server Spoofing Vulnerability
Что это
Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.
CISA: Microsoft Exchange Server contains a cross-site scripting vulnerability during web page generation in Outlook Web Access and when certain interaction conditions are met, arbitrary JavaScript can be executed in the browser context.
Что делать
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Срок для федеральных ведомств США: 29 мая 2026 г.
Другие эксплуатируемые уязвимости Microsoft
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 13 окт. 2026 г. | Command Injection | Windows | Высокий 8,8 | 9,8% |
| 25 сент. 2026 г. | Code Injection | SharePoint | Высокий 8,8 | 8,2% |
| 8 сент. 2026 г. | Link Following | Windows | Высокий 7,8 | 0,4% |
| 8 сент. 2026 г. | Heap-Based Buffer Overflow | Windows | Высокий 7,8 | 0,4% |
| 26 авг. 2026 г. | Remote Code Execution | SQL Server | Высокий 8,8 | 57% |
| 18 авг. 2026 г. | Double Free | Internet Key Exchange (IKE) Service Extensions | Критическая 9,8 | 77% |
| 18 авг. 2026 г. | Weak Authentication | SharePoint | Критическая 9,1 | 70% |
| 11 авг. 2026 г. | Windows Ancillary Function Driver for WinSock Use-After-Free | Windows Ancillary Function Driver for WinSock | Высокий 7,0 | 0,3% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.