CVE-2026-42897
Neutralisation incorrecte des entrées lors de la génération de pages web ('cross-site scripting') dans Microsoft Exchange Server permet à un attaquant non autorisé d'effectuer une usurpation sur un réseau.
Activement exploitée
- Dans le catalogue CISA des vulnérabilités exploitées depuis le 15 mai 2026
- Les agences fédérales américaines doivent la corriger avant le 29 mai 2026 (BOD 22-01)
- Attaquée 1 jour avant la divulgation publique de la faille
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Source : CISA KEV · 29 oct. 2026 11 sept. 2026 7 août 2026 28 juil. 2026 7 juil. 2026 27 mai 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:NProduits concernés
| Éditeurs | Produit | Versions |
|---|---|---|
| microsoft | exchange server | 2016 |
| microsoft | exchange server subscription edition | < 15.02.2562.043 |
Articles liés
Trois groupes de menaces ciblent des entreprises russes avec des portes dérobées, des ransomwares et des wipers
NightEagle, Hacking Cat et Toy Ghouls visent des entreprises russes via VPN et Exchange avec backdoors, ransomwares et wipers.
Laundry Bear frappe avec un zero-day sur Exchange OWA : espionnage persistant et invisible
L'APT Laundry Bear exploite un zero-day Exchange OWA. La porte dérobée OWAReaper garantit un accès persistant et invisible aux boîtes aux lettres.
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.