CVE-2025-65041

Nieprawidłowa autoryzacja w Microsoft Partner Center — privilege escalation

CVSS 10.0v3.1pub. 2025-12-18upd. 2026-01-06

Podatność w Microsoft Partner Center umożliwia nieuwierzytelnionemu atakującemu zdalne podniesienie uprawnień przez sieć. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko — brak wymagań co do uwierzytelnienia, interakcji użytkownika ani lokalnego dostępu.

▸ Pokaż oryginał (EN)

Improper authorization in Microsoft Partner Center allows an unauthorized attacker to elevate privileges over a network.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej autoryzacji (CWE-285), co oznacza, że system nie weryfikuje właściwie, czy żądający strony ma prawo do wykonania określonej operacji. Atakujący może wysłać spreparowane żądanie sieciowe do Microsoft Partner Center bez podawania jakichkolwiek poświadczeń i uzyskać dostęp do zasobów lub funkcji zastrzeżonych dla uprzywilejowanych użytkowników. Wektor ataku jest sieciowy, nie wymaga złożoności ani wcześniejszego dostępu do środowiska ofiary.

Skutki

Atakujący może uzyskać podwyższone uprawnienia w usłudze Microsoft Partner Center, co przy zakresie CVSS oznaczającym wpływ wykraczający poza pierwotny komponent (S:C) może prowadzić do pełnej kompromitacji poufności, integralności i dostępności powiązanych zasobów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-65041. Jako usługa chmurowa Microsoft, łatka może być wdrażana po stronie dostawcy — zaleca się weryfikację statusu aktualizacji w Microsoft Security Response Center.