CVE-2026-32211

Brak uwierzytelnienia w Azure MCP Server — ujawnienie informacji

CVSS 9.1v3.1pub. 2026-04-03upd. 2026-07-24

Podatność w Azure MCP Server (Microsoft Azure Web Apps) polega na braku uwierzytelnienia dla krytycznej funkcji, co pozwala nieuwierzytelnionemu atakującemu na ujawnienie poufnych informacji przez sieć. Wysoki wynik CVSS 9.1 oraz brak wymagań wstępnych po stronie atakującego czynią tę podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

Missing authentication for critical function in Azure MCP Server allows an unauthorized attacker to disclose information over a network.

🤖 Analiza AI

Jak działa

Luka sklasyfikowana jako CWE-306 (Missing Authentication for Critical Function) oznacza, że krytyczna funkcjonalność Azure MCP Server jest dostępna bez jakiegokolwiek mechanizmu uwierzytelnienia. Atakujący zdalnie, przez sieć, bez posiadania konta ani uprawnień i bez interakcji użytkownika, może wywołać tę funkcję i uzyskać dostęp do chronionych danych. Wektor ataku sieciowego (AV:N) przy braku wymagań dotyczących uprawnień (PR:N) i interakcji (UI:N) oznacza, że exploit może być przeprowadzony w pełni zdalnie i automatycznie.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych informacji przetwarzanych lub przechowywanych przez Azure MCP Server oraz dokonać nieautoryzowanych modyfikacji danych (High Integrity impact). Poufność i integralność danych są poważnie zagrożone.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w Microsoft Security Response Center (MSRC): https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-32211