جزئیات آسیب‌پذیری
CVE-2026-124194
بهره‌برداری فعالMicrosoft Office Outlook: آسیب‌پذیری جعل (Spoofing) در CVE-2026-124194
خلاصه‌ی فارسی
این آسیب‌پذیری در رابط کاربری Microsoft Office Outlook وجود دارد و به دلیل عدم هشدار به کاربر در خصوص اقدامات ناامن رخ می‌دهد. یک مهاجم غیرمجاز می‌تواند از طریق شبکه از این نقص برای انجام عملیات جعل (Spoofing) سوءاستفاده کند.
چه کسانی تحت تأثیرند: محصولات Microsoft 365 Apps for Enterprise و نسخه‌های مختلف Microsoft Office LTSC 2021 و 2024 تحت تأثیر این آسیب‌پذیری قرار دارند.
وضعیت بهره‌برداری: بله، این آسیب‌پذیری در حال حاضر به صورت فعال در حملات دنیای واقعی مورد بهره‌برداری قرار گرفته است و در کاتالوگ آسیب‌پذیری‌های شناخته‌شده CISA (KEV) ثبت شده است.
راه‌حل: کاربران باید طبق دستورالعمل‌های سازنده و الزامات BOD 26-04 سازمان CISA، وصله‌های امنیتی مربوطه را اعمال کنند. جزئیات دقیق نسخه‌های اصلاحی در وب‌سایت رسمی مایکروسافت قابل مشاهده است.
شرح رسمی (انگلیسی)
Product ui does not warn user of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to perform spoofing over a network.
اخبار مرتبط
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 6.5متوسط | 3.1 | CVEProject cvelistV5 (CNA) (microsoft) | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N/E:H/RL:O/RC:C |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Microsoft | Microsoft 365 Apps for Enterprise | 16.0.1 ≤ v < https://aka.ms/OfficeSecurityReleases | CVEProject cvelistV5 (CNA) |
| Microsoft | Microsoft Office LTSC 2021 | 16.0.1 ≤ v < 16.0.14334.21048 | CVEProject cvelistV5 (CNA) |
| Microsoft | Microsoft Office LTSC 2024 | 16.0.0 ≤ v < 16.0.17932.21140 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-124194 vendor-advisorypatch
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-124194 government-resource
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۲۰
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- microsoft
- اولویت کُلون
- ۶۰ · متوسط
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۵/۰۸/۱۹
- مهلت رفع
- ۱۴۰۵/۰۹/۰۳
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
امتیاز EPSS برای این CVE هنوز منتشر نشده است.
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- فعال
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-356Product UI does not Warn User of Unsafe Actions