ASP.NET Core: Rechteerweiterung in Scaffolding und Projektvorlagen

Zusammenfassung

Die Entwicklungswerkzeuge von ASP.NET Core von Microsoft enthalten eine Schwachstelle zur Rechteerweiterung mit CVSS 8.1 (CWE-640, schwacher Mechanismus zur Passwortwiederherstellung). Betroffen sind Scaffolding-Werkzeuge und Projektvorlagen, die Startcode inklusive Benutzerkontofunktionen erzeugen, nicht die Laufzeitumgebung von ASP.NET Core. Ein entfernter Angreifer ohne Berechtigungen und ohne Benutzerinteraktion könnte über das Netzwerk seine Rechte erweitern, die Angriffskomplexität ist jedoch hoch. Anwendungen, die bereits mit den betroffenen Paketen erstellt wurden, behalten die Schwachstelle und müssen nach dem Update neu generiert werden.

Betroffen

• Microsoft.dotnet-scaffold: 10.0.0 bis 20.3.0 (Bereich gemäss CVE-Eintrag, nicht durch eine zweite Quelle bestätigt)
• Microsoft.dotnet-scaffold-aspnet: 9.0.0 bis 9.0.13
• Microsoft.DotNet.Web.ProjectTemplates.10.0: 10.0.13 bis 10.0.15
• Microsoft.DotNet.Web.ProjectTemplates.9.0: 9.0.21 bis 9.0.23
• Microsoft.DotNet.Web.ProjectTemplates.8.0: 8.0.32 bis 8.0.34
• Microsoft.VisualStudio.Web.CodeGeneration.Design und Microsoft.VisualStudio.Web.CodeGenerators.Mvc: betroffene Versionen im CVE-Eintrag noch nicht verfügbar, vor 10.0.3

Behoben in

• Microsoft.dotnet-scaffold: korrigierte Version unbestätigt, im MSRC-Advisory prüfen
• Microsoft.dotnet-scaffold-aspnet: vor 9.0.13
• Microsoft.DotNet.Web.ProjectTemplates.10.0: vor 10.0.15
• Microsoft.DotNet.Web.ProjectTemplates.9.0: vor 9.0.23
• Microsoft.DotNet.Web.ProjectTemplates.8.0: vor 8.0.34
• Microsoft.VisualStudio.Web.CodeGeneration.Design und Microsoft.VisualStudio.Web.CodeGenerators.Mvc: vor 10.0.3 gemäss CVE-Eintrag, unbestätigt
• Der .NET-Blog von Microsoft führt die Korrektur im Servicing-Release vom 10. November 2026 auf. Die Installation nur der Laufzeitumgebung behebt die Schwachstelle nicht.

Umgehung

Unbekannt. Es ist kein Workaround dokumentiert. Die betroffenen Pakete aktualisieren und danach die betroffenen Anwendungen neu generieren, neu erstellen und neu bereitstellen.

Ausnutzung

• Zum Zeitpunkt der Analyse ist keine Ausnutzung bekannt.
• Es wurden kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
• Der CVE-Eintrag stuft die Ausnutzungsreife als Unproven ein.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Inventarisieren Sie .NET-SDKs sowie Scaffolding- und Vorlagenpakete auf Entwicklerrechnern und in CI-Pipelines.
• Aktualisieren Sie diese Pakete auf die im MSRC-Advisory genannten korrigierten Versionen.
• Generieren Sie Anwendungen, die mit Identity-Funktionen erstellt wurden, neu, erstellen Sie sie neu und stellen Sie sie erneut bereit.
• Überprüfen Sie die Logik für Passwortzurücksetzung und Kontowiederherstellung in diesen Anwendungen.
• Behandeln Sie dies bei aus dem Internet erreichbaren Anwendungen prioritär. Andernfalls erfolgt die Behandlung im standardmässigen Patch-Zyklus.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118741 msrc.microsoft.com
• CVE Record CVE-2026-118741 www.cve.org
• .NET and .NET Framework November 2026 servicing updates devblogs.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:43.