CVE-2026-42826

Ujawnienie wrażliwych informacji w Microsoft Azure DevOps (CVE-2026-42826)

CVSS 10.0v3.1pub. 2026-05-07upd. 2026-05-08

Podatność w Microsoft Azure DevOps umożliwia nieuwierzytelnionemu atakującemu zdalne ujawnienie wrażliwych informacji przez sieć. Krytyczny poziom zagrożenia (CVSS 10.0) wynika z braku wymagań co do uprawnień, interakcji użytkownika oraz szerokiego zakresu potencjalnego wycieku danych.

▸ Pokaż oryginał (EN)

Exposure of sensitive information to an unauthorized actor in Azure DevOps allows an unauthorized attacker to disclose information over a network.

🤖 Analiza AI

Jak działa

Luka sklasyfikowana jako CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor) polega na nieprawidłowym kontrolowaniu dostępu do chronionych zasobów lub danych w usłudze Azure DevOps. Atakujący nieposiadający żadnych uprawnień może za pośrednictwem sieci wysłać odpowiednio spreparowane żądanie i uzyskać dostęp do informacji, które powinny być dostępne wyłącznie dla autoryzowanych użytkowników. Podatność nie wymaga interakcji ze strony ofiary, a jej zasięg wykracza poza pierwotnie atakowany komponent (zakres zmieniony — Scope: Changed).

Skutki

Atakujący może zdalnie i bez uwierzytelnienia ujawnić wrażliwe informacje przechowywane lub przetwarzane przez Azure DevOps, co może obejmować dane projektów, kodu źródłowego, konfiguracji pipeline'ów, tokenów lub innych poufnych zasobów organizacji. Wyciek takich danych może prowadzić do dalszych ataków na infrastrukturę IT.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegóły dotyczące aktualizacji opublikowane są w Microsoft Security Response Center pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-42826