CVE-2026-47303

Luka wynika z błędnego założenia przez ASP.NET Core, że określone dane (np. tokeny, identyfikatory sesji lub inne parametry kontrolne) są niezmienne i mogą być traktowane jako wiarygodne bez ponownej weryfikacji (CWE-90, CWE-302). Atakujący posiadający podstawowy poziom dostępu może zmodyfikować te dane i przesłać spreparowane żądanie sieciowe, które system błędnie zaakceptuje jako autoryzowane. Skutkiem jest nieprawidłowa weryfikacja uprawnień (CWE-863), pozwalająca na uzyskanie wyższych przywilejów niż te, do których atakujący jest uprawniony.

Atakujący może uzyskać podwyższone uprawnienia w aplikacji lub systemie, co w połączeniu z pełnym wpływem na poufność, integralność i dostępność (CVSS C:H/I:H/A:H) może skutkować przejęciem kontroli nad zasobami chronionymi przez mechanizmy uwierzytelnienia ASP.NET Core.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi w Microsoft Security Response Center pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-47303

Aplikacje oparte na ASP.NET Core działające na platformach Microsoft .NET, Microsoft Windows, Apple macOS oraz Linux — konkretne wersje wskazane w referencjach producenta (MSRC).

Podatność opublikowana 14 lipca 2026 r. Dotyczy środowisk wieloplatformowych (Windows, macOS, Linux), co rozszerza powierzchnię ataku.