Microsoft Teams für Android: Cross-Site Scripting ermöglicht Spoofing
Zusammenfassung
Eine Schwachstelle vom Typ Cross-Site Scripting (CWE-79) in Microsoft Teams für Android erlaubt einem nicht authentifizierten Angreifer aus dem Netzwerk, Spoofing durchzuführen. Der CNA bewertet die Lücke mit CVSS 3.1 7.5 (hoch); laut Vektor sind keine Berechtigungen und keine Benutzerinteraktion nötig. Die genauen Voraussetzungen für eine Ausnutzung werden in den uns vorliegenden Quellen nicht beschrieben.
Betroffen
- Microsoft Teams für Android, Versionen 1.0.0 bis unter 1416/1.0.0.2026202302
- Die NVD-Beschreibung nennt nur "Microsoft Teams". Ob Windows-, macOS-, Web- oder iOS-Clients betroffen sind, ist unbestätigt.
Behoben in
- Microsoft Teams für Android, Build 1416/1.0.0.2026202302 oder neuer
- Veröffentlichungsdatum des korrigierten Builds: Unbekannt.
Umgehung
Unbekannt. In den uns vorliegenden Quellen wurde kein Workaround des Herstellers gefunden.
Ausnutzung
- Laut VulDB ist kein öffentlicher Exploit bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Laut Strix nicht im CISA-KEV-Katalog aufgeführt.
- Es wurde kein Bericht über eine Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Microsoft Teams für Android auf allen verwalteten Geräten auf Build 1416/1.0.0.2026202302 oder neuer aktualisieren, einschliesslich BYOD-Telefonen.
- Die minimale App-Version über MDM durchsetzen.
- Das MSRC-Advisory auf die vollständige Produktliste und die Ausnutzungsvoraussetzungen prüfen.
- Die Schwachstelle trotz fehlender bekannter Ausnutzung als prioritär patchen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-116926 msrc.microsoft.com
- CVE.org record CVE-2026-116926 www.cve.org
- VulDB entry 434058 vuldb.com
- Strix CVE-2026-116926 www.strix.ai
- Wikipedia: Microsoft Teams en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.