جزئیات آسیب‌پذیری
CVE-2026-114146
Microsoft NET installed on LinuxMicrosoft NET installed on Mac OSMicrosoft NET installed on WindowsMicrosoft Visual StudioMicrosoft Microsoft.AspNetCore.Http.Connections
آسیب‌پذیری افزایش سطح دسترسی در ASP.NET Core (CVE-2026-114146)
CVSS 3.1
9.0بحرانی
خلاصه‌ی فارسی
این آسیب‌پذیری به دلیل نقص در مجوزدهی (Authorization) در ASP.NET Core رخ می‌دهد. یک مهاجم که از قبل احراز هویت شده است، می‌تواند از این نقص برای افزایش سطح دسترسی خود در شبکه استفاده کند.
چه کسانی تحت تأثیرند: محصولات Microsoft .NET 8.0، 9.0، 10.0 و 11.0 در سیستم‌عامل‌های Linux، Mac OS و Windows، همچنین نسخه‌های خاصی از Microsoft Visual Studio 2022 و 2026 و کتابخانه Microsoft.AspNetCore.Http.Connections تحت تأثیر این نقص هستند.
وضعیت بهره‌برداری: در حال حاضر شواهدی از بهره‌برداری عمومی از این آسیب‌پذیری گزارش نشده است.
راه‌حل
نسخه‌هایی که در رکورد CVE آسیب‌پذیر اعلام نشده‌اند:
- .NET 10.0 installed on Linux — نسخه‌ی 10.0.15 و بالاتر
- .NET 10.0 installed on Mac OS — نسخه‌ی 10.0.15 و بالاتر
- .NET 10.0 installed on Windows — نسخه‌ی 10.0.15 و بالاتر
- .NET 11.0 installed on Linux — نسخه‌ی 11.0.0 و بالاتر
- .NET 11.0 installed on Mac OS — نسخه‌ی 11.0.0 و بالاتر
- .NET 11.0 installed on Windows — نسخه‌ی 11.0.0 و بالاتر
شرح رسمی (انگلیسی)
Incorrect authorization in ASP.NET Core allows an authorized attacker to elevate privileges over a network.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.0بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (microsoft) | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Microsoft | .NET 10.0 installed on Linux | 10.0.0 ≤ v < 10.0.15 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 10.0 installed on Mac OS | 10.0.0 ≤ v < 10.0.15 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 10.0 installed on Windows | 10.0.0 ≤ v < 10.0.15 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 11.0 installed on Linux | 11.0.0-preview.1 ≤ v < 11.0.0 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 11.0 installed on Mac OS | 11.0.0-preview.1 ≤ v < 11.0.0 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 11.0 installed on Windows | 11.0.0-preview.1 ≤ v < 11.0.0 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 8.0 installed on Linux | 8.0.0 ≤ v < 8.0.34 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 8.0 installed on Mac OS | 8.0.0 ≤ v < 8.0.34 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 8.0 installed on Windows | 8.0.0 ≤ v < 8.0.34 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 9.0 installed on Linux | 9.0.0 ≤ v < 9.0.23 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 9.0 installed on Mac OS | 9.0.0 ≤ v < 9.0.23 | CVEProject cvelistV5 (CNA) |
| Microsoft | .NET 9.0 installed on Windows | 9.0.0 ≤ v < 9.0.23 | CVEProject cvelistV5 (CNA) |
| Microsoft | Microsoft Visual Studio 2022 version 17.14 | 17.14.0 ≤ v < 17.14.45 | CVEProject cvelistV5 (CNA) |
| Microsoft | Microsoft Visual Studio 2026 version 18.11 | 18.11.0 ≤ v < 18.11.4 | CVEProject cvelistV5 (CNA) |
| Microsoft | Microsoft Visual Studio 2026 version 18.12 | 18.12.0 ≤ v < 18.12.0 | CVEProject cvelistV5 (CNA) |
| Microsoft | Microsoft.AspNetCore.Http.Connections | 1.2.0 ≤ v < 1.2.14 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-114146 vendor-advisorypatch
کانال تلگرام کُلون @kolunsec_fa
تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۲۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- microsoft
- اولویت کُلون
- ۳۷ · متوسط
پیش‌بینی بهره‌برداری (EPSS)
۰٫۷۵٪
احتمال بهره‌برداری در ۳۰ روز
۵۵٫۶٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-863Incorrect Authorization