Microsoft SharePoint Server: Cross-Site-Scripting mit Rechteerweiterung

Zusammenfassung

Eine Cross-Site-Scripting-Schwachstelle (CWE-79) in Microsoft SharePoint Server Subscription Edition erlaubt einem berechtigten Angreifer über das Netzwerk eine Rechteerweiterung. Gemäss dem angegebenen Vektor benötigt der Angreifer ein Konto mit niedrigen Rechten, und ein Benutzer muss interagieren, indem er zum Beispiel eine präparierte Seite lädt. NVD nennt einen CVSS-Wert von 9.0 (Critical), Microsoft stuft das Problem jedoch als Important ein; der Herstellerwert ist zu prüfen. Eine Ausnutzung ist nicht bekannt.

Betroffen

• Microsoft SharePoint Server Subscription Edition: 16.0.0 bis vor 16.0.20326.20278
• Office Online Server ist nicht als betroffen aufgeführt.
• SharePoint Online und Microsoft 365 sind nicht betroffen.

Behoben in

• Korrektur: KB 5002945 für SharePoint Server Subscription Edition (identisch mit dem kumulativen Update vom November 2026 für SE)
• Nummer des korrigierten Builds: Unbekannt. Prüfen Sie den KB-Artikel oder den MSRC-Eintrag.
• Farmen mit dem CU vom September 2025 müssen unter Umständen zuerst die Ordnerberechtigungen korrigieren, bevor die Korrektur installiert werden kann.

Umgehung

• Ein Workaround des Herstellers ist nicht bekannt. Das Einspielen des Patches ist für unterstützte SE-Farmen die erforderliche Massnahme.
• Schreib- und Bearbeitungsrechte auf breit freigegebenen Websites einschränken.
• SharePoint nicht direkt aus dem Internet erreichbar machen.

Ausnutzung

• Aktiv ausgenutzt: Unbekannt für diese CVE. Es wurde kein Eintrag im CISA-KEV-Katalog und keine Herstellerangabe zur Ausnutzung gefunden.
• Öffentlicher Proof of Concept: Unbekannt. Es wurde keiner gefunden.
• Andere SharePoint-CVEs wurden 2026 aktiv ausgenutzt; dies sind andere CVEs.

Unsere Empfehlung

• Prüfen Sie, ob ein Kunde SharePoint Server SE on-premises betreibt. Falls nicht, betrifft diese CVE Sie nicht.
• Vergleichen Sie den Build der Farm mit dem korrigierten Build im MSRC-Eintrag und installieren Sie KB 5002945.
• Prüfen Sie Schreib- und Bearbeitungsrechte und unterbinden Sie den Internetzugang, wo er nicht benötigt wird.
• Prüfen Sie den MSRC-Eintrag und NVD erneut auf CVSS-Änderungen und den KEV-Status.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-80095 msrc.microsoft.com
• Stefan Gossner: SharePoint security fixes November 2026 PU blog.stefan-gossner.com
• Resecurity: July 2026 SharePoint attacks www.resecurity.com
• CERT-EU security advisory 2026-009 cert.europa.eu
• CISA: SharePoint hardening after new exploitations www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:48.