CVE-2026-47646: XSS-fejl i Dynamics 365 Customer Voice

CVE-2026-47646 er en cross-site scripting-sårbarhed (XSS), hvor Dynamics 365 Customer Voice ikke renser brugerinput korrekt, når en webside genereres. Det betyder, at en angriber kan indlejre skadelig kode i for eksempel en spørgeskemaundersøgelse eller besked, som bliver udført i en anden brugers browser, når vedkommende åbner den. Fejlen kan bruges til spoofing, altså at få indhold til at fremstå som legitimt, selvom det kommer fra en angriber. Dynamics 365 Customer Voice er Microsofts værktøj til at indsamle kundefeedback og gennemføre spørgeskemaundersøgelser, og fejlen ligger i selve tjenesten, ikke i software, som virksomheden selv installerer.

Sårbarheden rammer alle organisationer, der bruger Dynamics 365 Customer Voice til at sende eller modtage spørgeskemaer og kundefeedback. Da tjenesten er en del af Microsofts cloud-platform, er der ikke tale om en lokal version, som virksomheden selv skal opdatere. Danske virksomheder og kommuner, der bruger Customer Voice til borgerundersøgelser, kundetilfredshedsmålinger eller support-feedback, er potentielt eksponerede, indtil Microsoft har rullet rettelsen ud til alle lejemål.

En angriber kan udforme et link eller en formular, der ser ud til at komme fra Customer Voice, og sende det til en medarbejder eller kunde. Når modtageren klikker eller interagerer med indholdet, kan skadelig kode køre i deres browser under tjenestens egen kontekst. Det kan bruges til at franarre login-oplysninger, vise falske beskeder, der ligner legitime, eller manipulere med data, brugeren ser. Fejlen giver ikke angriberen adgang til at slette data eller lukke tjenesten ned, da tilgængeligheden ikke er påvirket, men den kan bruges målrettet til phishing eller identitetstyveri mod danske medarbejdere og kunder.

CVSS-score er 9,3 ud af 10, hvilket er kritisk. Angrebet kan gennemføres over netværket med lav kompleksitet og uden at angriberen behøver være logget ind. Til gengæld kræver det, at et offer klikker på et link eller interagerer med indhold, så det er ikke et angreb, der sker helt af sig selv. At scope er ændret betyder, at konsekvensen rækker ud over selve Customer Voice-komponenten. Der er ikke oplyst aktiv udnyttelse på offentliggørelsestidspunktet, men den høje score og lette adgangsbarriere gør sårbarheden attraktiv for angribere.

Da fejlen ligger i en Microsoft cloud-tjeneste, retter Microsoft selve sårbarheden centralt. Jeres opgave er at sikre, at organisationen er beskyttet i mellemtiden og efterfølgende bekræfte, at rettelsen er slået igennem.

1. Følg Microsoft 365 Message Center og tjenestens statusside for bekræftelse af, at rettelsen er udrullet til jeres lejemål.
2. Informér medarbejdere, der arbejder med Customer Voice-undersøgelser, om ikke at klikke på uventede links eller indlejret indhold i spørgeskemaer, selv hvis de ser officielle ud.
3. Gennemgå aktive Customer Voice-formularer for uventet eller mistænkeligt indhold, som kan være indsat af en angriber.
4. Aktivér eller kontrollér, at multifaktorgodkendelse er slået til for konti, der har adgang til Customer Voice-administration, som ekstra beskyttelse mod følgeangreb.
5. Log og overvåg for usædvanlig aktivitet i forbindelse med kundefeedback-flows i en periode efter offentliggørelsen.
6. Kontakt jeres it-sikkerhedsrådgiver eller Auroa, hvis I er i tvivl om, hvorvidt jeres lejemål er opdateret, eller hvis I opdager mistænkelig aktivitet.