CVE-2026-66803

Zdalne wykonanie kodu w Azure Cosmos DB przez brak kontroli dostępu

CVSS 10.0v3.1pub. 2026-07-30upd. 2026-08-04

Podatność w Azure Cosmos DB umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) poprzez sieć. Ocena CVSS 10.0 wskazuje na maksymalne ryzyko — brak wymagań uwierzytelnienia i pełny wpływ na poufność, integralność oraz dostępność.

▸ Pokaż oryginał (EN)

Improper access control in Azure Cosmos DB allows an unauthorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej kontroli dostępu (CWE-284) w usłudze Azure Cosmos DB. Atakujący bez żadnych uprawnień i bez interakcji użytkownika może wysłać spreparowane żądanie sieciowe, które skutkuje wykonaniem złośliwego kodu po stronie serwera. Wektor ataku sieciowy (AV:N) przy braku wymagań uwierzytelnienia (PR:N) i braku interakcji użytkownika (UI:N) czyni podatność łatwą do wykorzystania zdalnie.

Skutki

Atakujący może uzyskać pełną kontrolę nad podatnym środowiskiem, w tym dostęp do przechowywanych danych (naruszenie poufności), ich modyfikację lub usunięcie (naruszenie integralności) oraz doprowadzenie do niedostępności usługi (naruszenie dostępności). Zakres ataku obejmuje zasoby wykraczające poza sam komponent (S:C).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — szczegółowe informacje o aktualizacjach i ewentualnych obejściach dostępne są pod adresem https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-66803