CVE-2026-42897highbajo ataqueCWE-79

CVE-2026-42897: fallo de gravedad alta en Microsoft Exchange Server 2016 Cumulative…

Microsoft Exchange Server Spoofing Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Microsoft Exchange Server+ Monitorear Microsoft.OpenApi.Kiota.Builder

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

93Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.

ssvc Actcvss 8.1epss 71%
de la publicación al arma1 día
Publicada en NVD14 may
1ª PoC+1d
CISA KEV+1d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-05-29

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Microsoft Exchange Server no limpia adecuadamente la información ingresada por usuarios en páginas web, permitiendo que atacantes inyecten código malicioso para engañar a usuarios haciéndoles creer en mensajes o acciones falsas. Esto es peligroso porque los atacantes pueden suplantar comunicaciones legítimas para robar credenciales o difundir desinformación.

Detalle técnico

Una vulnerabilidad de cross-site scripting (XSS) en la interfaz web de Microsoft Exchange Server no sanitiza correctamente la entrada controlada por el usuario durante la generación de páginas, permitiendo que atacantes inyecten scripts arbitrarios ejecutados en los navegadores de las víctimas. Esta vulnerabilidad puede ser explotada a través de la red para realizar ataques de suplantación, comprometiendo la integridad de autenticación y gestión de sesiones.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Exchange Server allows an unauthorized attacker to perform spoofing over a network.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N/E:F/RL:O/RC:C
Productos afectados
Microsoft · Microsoft Exchange Server 2016 Cumulative Update 23Microsoft · Microsoft Exchange Server 2019 Cumulative Update 14Microsoft · Microsoft Exchange Server 2019 Cumulative Update 15Microsoft · Microsoft Exchange Server Subscription Edition RTM
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Microsoft Exchange Server 2016 Cumulative…

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-41082HIGHMicrosoft Exchange Server Remote Code Execution VulnerabilityEPSS 100.0%KEVCVE-2022-41040HIGHMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 100.0%KEVCVE-2022-41080HIGHMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 77.3%KEVCVE-2023-21529HIGHMicrosoft Exchange Server Remote Code Execution VulnerabilityEPSS 59.3%KEVCVE-2024-21410CRITICALMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 12.7%KEVCVE-2023-36035HIGHMicrosoft Exchange Server Spoofing VulnerabilityEPSS 86.6%