Microsoft-Sicherheitshinweis CVE-2026-96230 – Sicherheitslücke bezüglich Remotecodeausführung in ASP.NET Core
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitshinweis, um über eine Sicherheitslücke in Microsoft.AspNetCore.Components.WebAssembly.Server zu informieren. Dieser Hinweis enthält außerdem Anleitungen für Entwickler, wie sie ihre Anwendungen aktualisieren können, um diese Schwachstelle zu beseitigen.
Die Debugging-Seite des Blazor WebAssembly-Entwicklungsservers kann nicht codierten Ausnahmetext zurückgeben (reflektieren). Dies ermöglicht Script-Injection über verschiedene Ursprünge hinweg (Cross-Origin Script Injection) über den nicht authentifizierten Endpunkt /_framework/debug, der von dotnet watch verwendet wird.
Ankündigung
Die Ankündigung zu diesem Problem ist unter https://github.com/dotnet/announcements/issues/478 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Hoch
- Punktzahl: 8.8
- Vektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Schwäche: CWE-79 (Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))
Betroffene Plattformen
- Plattformen: Windows, Linux, macOS
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitslücke betrifft Microsoft .NET-Projekte, die eine der unten aufgeführten betroffenen Paketversionen verwenden.
| Paketname | Betroffene Version | Bereinigte Version |
|---|---|---|
| Microsoft.AspNetCore.Components.WebAssembly.Server | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.AspNetCore.Components.WebAssembly.Server | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.AspNetCore.Components.WebAssembly.Server | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.AspNetCore.Components.WebAssembly.Server | >= 9.0.0, <= 9.0.20 | 9.0.21 |
FAQ zum Sicherheitshinweis
Woher weiß ich, ob ich betroffen bin?
Wenn Sie ein in den betroffenen Paketen aufgeführtes Paket verwenden, sind Sie von dieser Sicherheitslücke betroffen.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET gefunden haben, melden Sie dies bitte dem Microsoft Security Response Center (MSRC) über das MSRC-Forscherportal.. Weitere Informationen finden Sie in den MSRC-FAQ zum Melden eines Problems..
Sicherheitsmeldungen über das MSRC qualifizieren sich möglicherweise für die Microsoft .NET Bounty. Einzelheiten zum Microsoft .NET Bounty-Programm einschließlich der Bedingungen finden Sie unter https://aka.ms/corebounty..
Support
Fragen zu diesem Problem können Sie auf GitHub in der .NET-GitHub-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime.. Das Announcements-Repository (https://github.com/dotnet/Announcements)) führt dieses Bulletin als Issue und verlinkt auf eine Diskussionsseite. Dort können Sie Fragen stellen.
Haftungsausschluss
Die in diesem Hinweis bereitgestellten Informationen werden "wie besehen" ohne jegliche Gewährleistung zur Verfügung gestellt. Microsoft lehnt jede ausdrückliche oder stillschweigende Gewährleistung ab, einschließlich der Gewährleistung der Marktgängigkeit und der Eignung für einen bestimmten Zweck. In keinem Fall haften Microsoft Corporation oder ihre Lieferanten für Schäden jeglicher Art, einschließlich direkter, indirekter, zufälliger, Folgeschäden, Verlust von Geschäftsgewinnen oder besonderen Schäden, selbst wenn Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Einige Staaten/Rechtsordnungen erlauben den Ausschluss oder die Beschränkung der Haftung für Folge- oder Zufallsschäden nicht, sodass die vorstehende Beschränkung möglicherweise nicht zutrifft.
Externe Links
Danksagungen
- Kevin Gosse
Überarbeitungen
V1.0 (10/13/2026): Sicherheitshinweis veröffentlicht.
Was zu tun ist
Wie behebe ich das Problem?
- Um das Problem zu beheben, installieren Sie bitte die neueste Version von .NET. Wenn Sie ein oder mehrere .NET SDKs über Visual Studio installiert haben, werden Sie von Visual Studio zu einer Aktualisierung aufgefordert, wodurch auch Ihre .NET SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf das anfällige Paket verweist, aktualisieren Sie die Paketverweisung auf die bereinigte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Starten Sie nach der Installation der aktualisierten Laufzeitumgebung oder des SDKs Ihre Anwendungen neu, damit das Update wirksam wird.
Wenn Sie eigenständige Anwendungen (self-contained applications) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind diese Anwendungen ebenfalls anfällig und müssen neu kompiliert und bereitgestellt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.Components.WebAssembly.Server | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.32, 9.0.21 |
Verweise
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-qjpx-jqm5-h2c4
- https://github.com/dotnet/announcements/issues/478
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69802
- https://nvd.nist.gov/vuln/detail/CVE-2026-96230
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96230
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Schwäche (CWE)
CWE-79- Plattform
- .NET (NuGet)
- Paket
Microsoft.AspNetCore.Components.WebAssembly.Server- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-qjpx-jqm5-h2c4 - CC BY 4.0
Schwachstellenhistorie: Microsoft.AspNetCore.Components.WebAssembly.Server
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
Dies ist die einzige bekannte Schwachstelle dieses Pakets.
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.