Microsoft SharePoint Server: Cross-Site Scripting ermöglicht Spoofing
Zusammenfassung
Eine Cross-Site Scripting-Schwachstelle (CWE-79) in Microsoft SharePoint Server Subscription Edition erlaubt einem authentifizierten Angreifer, Spoofing über das Netzwerk durchzuführen. Für die Ausnutzung sind ein gültiges Konto mit niedrigen Berechtigungen und eine Interaktion des Opfers nötig, etwa das Öffnen eines präparierten Links oder einer Seite. Der CVSS-Vektor bewertet zusätzlich die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch, was die konservative Sicht darstellt.
Betroffen
- Microsoft SharePoint Server Subscription Edition, Versionen 16.0.0 bis vor 16.0.20326.20278
- Nur lokal betriebene Farmen; SharePoint Online in Microsoft 365 ist nicht als betroffen aufgeführt
- SharePoint 2016 und 2019: Unbekannt
Behoben in
- Build 16.0.20326.20278 oder neuer, enthalten im Public Update vom November 2026 für SharePoint Server Subscription Edition
- Installationshinweis: Farmen auf dem CU vom September 2025 benötigen zuerst ein PowerShell-Skript zur Korrektur der Ordnerberechtigungen, sonst schlägt die Installation der Fixes fehl
Umgehung
- Unbekannt. Es wurde keine Massnahme identifiziert; das Update sollte eingespielt werden.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung gefunden (Sicht Drittanbieter: nicht in KEV; CISA SSVC: Exploitation none, Automatable no)
- Öffentlicher Proof of Concept: Unbekannt
Unsere Empfehlung
- Prüfen, ob es sich um die Subscription Edition handelt, und den Build mit 16.0.20326.20278 vergleichen
- Läuft die Farm auf dem CU vom September 2025, zuerst die Ordnerberechtigungen gemäss dem verlinkten Leitfaden korrigieren und vor dem Rollout testen
- Das Update vom November 2026 einspielen und den Build anschliessend verifizieren; alle übrigen SharePoint-CVEs im selben Update ebenfalls einspielen
- Prüfen, ob die Farm aus dem Internet erreichbar ist, und die Konten mit Zugriff überprüfen
- MSRC-Advisory und CISA KEV in den kommenden Tagen erneut prüfen, da die NVD-Analyse noch aussteht
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Spoofing – Microsoft Office SharePoint
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- Microsoft Office
- Updates (KB)
- KB5002945
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-111297 msrc.microsoft.com
- CVE.org CVE Record: CVE-2026-111297 www.cve.org
- Stefan Gossner blog: SharePoint security fixes November 2026 blog.stefan-gossner.com
- Strix: CVE-2026-111297 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.