Komunikat bezpieczeństwa firmy Microsoft CVE-2026-96230 – luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu w programie ASP.NET Core

Podsumowanie

Firma Microsoft publikuje ten komunikat bezpieczeństwa, aby przekazać informacje o luce w zabezpieczeniach w bibliotece Microsoft.AspNetCore.Components.WebAssembly.Server. Niniejszy komunikat zawiera także wskazówki dla deweloperów dotyczące aktualizacji aplikacji w celu wyeliminowania tej luki.

Strona debugowania serwera deweloperskiego Blazor WebAssembly może odzwierciedlać niezakodowany tekst wyjątku, co umożliwia wstrzykiwanie skryptów między źródłami (cross-origin script injection) za pośrednictwem nieuwierzytelnionego punktu końcowego /_framework/debug używanego przez dotnet watch.

Ogłoszenie

Ogłoszenie dotyczące tego problemu można znaleźć pod adresem https://github.com/dotnet/announcements/issues/478

Szczegóły CVSS

• Wersja: 3.1
• Ważność: Wysoka
• Wynik: 8.8
• Wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• Słabość: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))

Platformy, których dotyczy problem

• Platformy: Windows, Linux, macOS
• Architektury: Wszystkie

Pakiety, których dotyczy problem

Luka dotyczy projektów Microsoft .NET korzystających z jednej z wymienionych poniżej wersji pakietu.

Często zadawane pytania (FAQ)

Skąd mam wiedzieć, czy problem mnie dotyczy?

Jeśli korzystasz z pakietu wymienionego w sekcji dotyczącej podatnych pakietów, jesteś narażony na tę lukę.

Inne informacje

Zgłaszanie problemów z bezpieczeństwem

W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji platformy .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem Portalu dla badaczy MSRC.. Więcej informacji można znaleźć w dokumencie MSRC Report an Issue FAQ..

Zgłoszenia bezpieczeństwa przekazane za pośrednictwem MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły programu Microsoft .NET Bounty, w tym jego warunki, znajdują się pod adresem https://aka.ms/corebounty..

Pomoc techniczna

Pytania dotyczące tego problemu można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium Announcements (https://github.com/dotnet/Announcements)) będzie zawierać niniejszy biuletyn jako zgłoszenie (issue) wraz z linkiem do dyskusji, w której można zadawać pytania.

Zastrzeżenie

Informacje zawarte w tym komunikacie są dostarczane w stanie, w jakim się znajdują ("as is"), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody wtórne lub przypadkowe, w związku z czym powyższe ograniczenie może nie mieć zastosowania.

Linki zewnętrzne

CVE-2026-96230

Podziękowania

• Kevin Gosse

Historia zmian

V1.0 (10/13/2026): Opublikowano komunikat.