Vulnerabilidades

Deserialización de datos no confiables en Microsoft Planetary Computer Pro permite a un atacante no autorizado divulgar información a través de una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Copilot permite a un atacante no autorizado realizar alteraciones a través de una red.

Carga irrestricta de archivo con tipo peligroso en Azure Orbital Spatio permite a un atacante no autorizado ejecutar código a través de una red.

Validación de entrada incorrecta en Azure Virtual Network Gateway permite a un atacante autorizado ejecutar código a través de una red.

Omisión de autorización mediante clave controlada por el usuario en Azure Privileged Identity Management (PIM) permite a un atacante autorizado elevar privilegios sobre una red.

Omisión de autenticación utilizando una ruta o canal alternativo en Microsoft Azure Active Directory B2C permite a un atacante no autorizado elevar privilegios a través de una red.

Validación de entrada indebida en Azure Compute Gallery permite a un atacante autorizado divulgar información a través de una red.

Gestión inadecuada de privilegios en Azure Entra ID permite a un atacante no autorizado elevar privilegios sobre una red.

Neutralización incorrecta de elementos especiales utilizados en un comando ('inyección de comandos') en Microsoft Power Pages permite a un atacante no autorizado ejecutar código a través de una red.

Una vulnerabilidad de cross-site scripting (XSS) en la función de Componentes Dinámicos de SketchUp 2026 permite la ejecución remota de código y la exfiltración de archivos locales a través de archivos SKP creados maliciosamente. La vulnerabilidad se origina por una sanitización de entrada inadecuada en la ventana de…

Desbordamiento de búfer basado en montículo en Microsoft Defender permite a un atacante no autorizado ejecutar código a través de una red.

Vulnerabilidad de denegación de servicio de Microsoft Defender

Resolución de enlace incorrecta antes del acceso a archivos (seguimiento de enlaces) en Azure Portal Windows Admin Center permite a un atacante autorizado elevar privilegios localmente.

Resolución de enlaces incorrecta antes del acceso a archivos ('seguimiento de enlaces') en Microsoft Defender permite a un atacante autorizado elevar privilegios localmente.

Microsoft tiene conocimiento de una vulnerabilidad de omisión de característica de seguridad en Windows conocida públicamente como 'YellowKey'. La prueba de concepto para esta vulnerabilidad se ha hecho pública violando las mejores prácticas de vulnerabilidad coordinada. Estamos emitiendo este CVE para proporcionar…

El análisis OOXML del indexador de archivos no desactiva la resolución de entidades externas. Un documento xlsx o pptx manipulado colocado en un directorio indexado puede provocar que se lean archivos locales o que se realicen peticiones HTTP salientes, y el contenido obtenido se escribe en el índice de búsqueda.

Vulnerabilidad de ejecución remota de código en Microsoft Edge (basado en Chromium)

Vulnerabilidad de suplantación (spoofing) en Microsoft Edge (basado en Chromium)

La validación de entrada incorrecta en Microsoft Edge (basado en Chromium) permite a un atacante no autorizado eludir una característica de seguridad a través de una red.

La autenticación incorrecta en Azure Local Disconnected Operations permite a un atacante no autorizado escalar privilegios a través de una red.

Microsoft APM es un gestor de dependencias de código abierto y de desarrollo comunitario para agentes de IA. Antes de la versión 0.13.0, Microsoft APM contiene un fallo de límite de extracción de archivos específico de Windows en el sondeo de paquetes de formato heredado utilizado por apm install <bundle> en los…

Microsoft APM es un gestor de dependencias de código abierto, impulsado por la comunidad, para agentes de IA. Desde la versión 0.5.4 hasta la 0.12.4, dos integradores primitivos de apm-cli enumeran archivos de paquetes mediante llamadas básicas a Path.glob() / Path.rglob() y leen cada coincidencia con…

Microsoft APM es un gestor de dependencias de código abierto y dirigido por la comunidad para agentes de IA. Antes de la versión 0.8.12, Microsoft APM normaliza los plugins de marketplace copiando en .apm/ los componentes de plugin referenciados en plugin.json. Los campos del manifiesto agents, skills, commands y…

Neutralización incorrecta de la entrada durante la generación de páginas web ('secuencias de comandos en sitios cruzados') en Microsoft Exchange Server permite a un atacante no autorizado realizar suplantación (spoofing) a través de una red.

Exposición de información sensible a un actor no autorizado en Microsoft Authenticator permite a un atacante no autorizado revelar información a través de una red.