CVE-2026-45454: Sti-traversal i SharePoint Server

CVE-2026-45454 er en sårbarhed i Microsoft SharePoint Server, hvor systemet ikke kontrollerer stier korrekt, kaldet sti-traversering (path traversal). Det betyder, at en bruger kan snyde SharePoint til at åbne filer uden for de mapper, brugeren egentlig har adgang til, ved at manipulere med filstier i en forespørgsel. Fejlen kræver, at angriberen allerede har et gyldigt login med lave rettigheder, men kræver ingen handling fra andre brugere og kan udføres over netværket.

Sårbarheden rammer Microsoft SharePoint Server 2016, SharePoint Server 2019 og SharePoint Server Subscription Edition, hvis versionen er lavere end 16.0.19725.20384. Det gælder organisationer, der kører SharePoint on-premises, altså på egne servere eller i egen hostet drift, typisk kommuner, virksomheder med interne intranet- eller dokumenthåndteringsløsninger. SharePoint Online i Microsoft 365 er ikke omfattet.

En medarbejder, ekstern konsulent eller kompromitteret konto med almindelig adgang til SharePoint kan udnytte fejlen til at læse filer, som vedkommende ikke har tilladelse til. Det kan være konfigurationsfiler, interne dokumenter fra andre afdelinger eller filer med personoplysninger og forretningshemmeligheder. Sårbarheden giver ikke mulighed for at ændre data eller lukke systemet ned, den handler alene om uautoriseret læsning af information.

CVSS-score er 6,5 ud af 10, moderat risiko. Angrebet kræver et gyldigt login med lave rettigheder (PR:L), men ingen handling fra andre brugere (UI:N), og kan udføres over netværket med lav kompleksitet. Konsekvensen er begrænset til fortrolighed, altså udlæsning af data. Der er ingen indikation af, at sårbarheden er udnyttet i praksis på offentliggørelsesdatoen, og der er ikke offentliggjort kode til at udnytte den.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér SharePoint Server til version 16.0.19725.20384 eller nyere via Microsoft Update eller SharePoint-produktopdateringer.
2. Gennemgå adgangsrettigheder i SharePoint, så konti og eksterne konsulenter kun har adgang til de mapper og sites, de faktisk skal bruge.
3. Kontrollér logfiler for usædvanlige filadgange, især forespørgsler med gentagne sti-mønstre som ../ eller adgang til systemmapper.
4. Sørg for, at kun nødvendige konti har login til SharePoint-serveren, og fjern inaktive konti.
5. Er I i tvivl om, hvilken version I kører, eller har I ikke ressourcer til at teste opdateringen før produktionssætning, bør I få en ekstern konsulent til at gennemføre opdateringen og verificere adgangsrettighederne.