Microsoft-Sicherheitsleitfaden CVE-2026-96229 – Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen in .NET und Visual Studio
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitsleitfaden, um Informationen über eine Sicherheitsanfälligkeit in Microsoft.WindowsDesktop.App.Runtime (WPF) bereitzustellen. Dieser Leitfaden enthält außerdem Hinweise für Entwickler zur Aktualisierung ihrer Anwendungen, um diese Sicherheitsanfälligkeit zu beseitigen.
Restriktive Sicherheitskorrekturen für XAML und XPS blockieren das unsichere Abrufen von URIs sowie die unsichere Navigation, geben den Status nicht vertrauenswürdiger Eingaben über Hyperlink-Navigation weiter, fügen Schutz für TrueType-Schriftarten sowie Grenzwerte für die XAML-Verschachtelungstiefe hinzu und vermeiden das Caching positiver Entscheidungen zur DNS-Zonenrichtlinie.
Ankündigung
Die Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/477 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Mittel (Moderate)
- Punktzahl: 6.5
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N - Schwachstelle: CWE-183 (Permissive List of Allowed Inputs)
Betroffene Plattformen
- Plattformen: Windows
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die eine der nachfolgend aufgeführten betroffenen Paketversionen verwenden.
Häufig gestellte Fragen (FAQ)
Wie stelle ich fest, ob ich betroffen bin?
Wenn Sie ein unter den betroffenen Paketen aufgeführtes Paket verwenden, sind Sie der Sicherheitsanfälligkeit ausgesetzt.
Wie behebe ich das Problem?
- Installieren Sie zur Behebung des Problems die neueste Version von .NET. Falls Sie ein oder mehrere .NET SDKs über Visual Studio installiert haben, werden Sie von Visual Studio aufgefordert, Visual Studio zu aktualisieren, wodurch auch Ihre .NET SDKs aktualisiert werden.
- Falls Ihre Anwendung auf das verwundbare Paket verweist, aktualisieren Sie den Paketverweis auf die gepatchte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Starten Sie nach der Installation der aktualisierten Laufzeitumgebung oder des SDKs Ihre Anwendungen neu, damit die Aktualisierung wirksam wird.
Zusätzlich sind auch bereitgestellte eigenständige Anwendungen (self-contained)), die auf betroffene Versionen abzielen, verwundbar und müssen neu kompiliert und bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie dies bitte dem Microsoft Security Response Center (MSRC) über das MSRC Researcher Portal.). Weitere Informationen finden Sie in den FAQ zum Melden von Problemen.) des MSRC.
Sicherheitsmeldungen über das MSRC können sich für das Microsoft .NET Bounty qualifizieren. Einzelheiten zum Microsoft .NET Bounty Program einschließlich der Teilnahmebedingungen finden Sie unter https://aka.ms/corebounty..
Support
Sie können Fragen zu diesem Problem auf GitHub in der .NET-GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) enthält diesen Leitfaden als Issue und verlinkt auf eine Diskussionsseite, in der Sie Fragen stellen können.
Haftungsausschluss
Die in diesem Leitfaden bereitgestellten Informationen werden "wie besehen" ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft lehnt alle ausdrücklichen oder stillschweigenden Gewährleistungen ab, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck. In keinem Fall haftet die Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, entgangenen Geschäftsgewinns oder besonderer Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Staaten/Rechtsordnungen erlauben den Ausschluss oder die Beschränkung der Haftung für Folge- oder Nebenschäden nicht, sodass die vorstehende Beschränkung möglicherweise nicht zutrifft.
Externe Links
Danksagungen
- Omar Khaleel (@omarkhalil1138)
- Ali Az
- nono
Überarbeitungen
V1.0 (10/13/2026): Leitfaden veröffentlicht.
Was zu tun ist
So beheben Sie das Problem:
- Installieren Sie die neueste Version von .NET. Bei Installation über Visual Studio führen Sie das angebotene Visual-Studio-Update aus, um auch die SDKs zu aktualisieren.
- Aktualisieren Sie in Projekten mit direkten Paketverweisen die Version auf das entsprechende gepatchte Release. Überprüfen Sie installierte Versionen mit dem Befehl
dotnet --info. - Starten Sie Anwendungen nach dem Update von Runtime oder SDK neu.
- Kompilieren Sie eigenständige Anwendungen (self-contained), die auf betroffene Versionen aufbauen, neu und stellen Sie diese erneut bereit.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32 | 9.0.21, 10.0.13, 11.0.0-rc.2, 8.0.32 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32 | 9.0.21, 10.0.13, 11.0.0-rc.2, 8.0.32 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32 | 9.0.21, 10.0.13, 11.0.0-rc.2, 8.0.32 |
Verweise
- https://github.com/dotnet/wpf/security/advisories/GHSA-5qr9-xxm9-6cmq
- https://github.com/dotnet/announcements/issues/477
- https://github.com/dotnet/wpf/issues/12023
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-96229
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96229
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N- Schwäche (CWE)
CWE-183- Plattform
- .NET (NuGet)
- Paket
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-5qr9-xxm9-6cmq - CC BY 4.0
Schwachstellenhistorie: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 19
- Erste → letzte
- 12.2022 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 16
- Mittel 3
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Microsoft-Sicherheitsleitfaden CVE-2026-96229 – Sicherheitsanfälligkeit bezüglich der Offenlegung von Informationen in .NET und Visual Studio dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.