CVE-2026-42897
Unsachgemäße Neutralisierung von Eingaben bei der Webseitengenerierung ('Cross-Site Scripting') in Microsoft Exchange Server ermöglicht es einem nicht autorisierten Angreifer, Spoofing über ein Netzwerk durchzuführen.
Aktiv ausgenutzt
- Seit dem 15.05.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 29.05.2026 beheben (BOD 22-01)
- Angegriffen 1 Tag bevor die Schwachstelle öffentlich wurde
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 29.10.2026 11.09.2026 07.08.2026 28.07.2026 07.07.2026 27.05.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| microsoft | exchange server | 2016 |
| microsoft | exchange server subscription edition | < 15.02.2562.043 |
Verwandte Artikel
Drei Bedrohungsgruppen greifen russische Unternehmen mit Backdoors, Ransomware und Wipern an
Drei Gruppen greifen russische Firmen an: NightEagle, Hacking Cat und Toy Ghouls nutzen VPN-Leaks, Exchange-Lücken, Backdoors, Ransomware und Wiper.
Laundry Bear nutzt Zero-Day-Schwachstelle in Exchange OWA: persistente und unsichtbare Spionage
APT-Gruppe Laundry Bear nutzt Zero-Day-Lücke in Exchange OWA für unsichtbare Spionage. Details zum OWAReaper, Persistenz und Tokens-Diebstahl hier.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.