Microsoft-Sicherheitshinweis CVE-2026-96234 – Sicherheitsanfälligkeit in .NET und Visual Studio bezüglich der Offenlegung von Informationen
Die Originalmeldung wurde seit der Erstellung dieser Erklärung geändert. Prüfen Sie die aktuellen technischen Daten und die Originalmeldung unten.
Zusammenfassung
Microsoft veröffentlicht diesen Sicherheitshinweis, um über eine Sicherheitsanfälligkeit in Microsoft.WindowsDesktop.App.Runtime (WPF) zu informieren. Der Hinweis enthält zudem Richtlinien für Entwickler zur Aktualisierung ihrer Anwendungen, um diese Sicherheitsanfälligkeit zu beseitigen.
Restriktive Sicherheitskorrekturen für XAML und XPS blockieren das unsichere Abrufen von URIs und die Navigation, übermitteln den Status nicht vertrauenswürdiger Eingaben über Hyperlink-Navigationen, implementieren einen TrueType-Schriftartenschutz sowie Grenzen für die XAML-Verschachtelungstiefe und verhindern das Zwischenspeichern positiver Richtlinienentscheidungen für DNS-Zonen.
Ankündigung
Die offizielle Ankündigung zu diesem Thema ist unter https://github.com/dotnet/announcements/issues/482 verfügbar.
CVSS-Details
- Version: 3.1
- Schweregrad: Moderat (Moderate)
- Bewertung: 5.3
- Vektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N - Schwachstelle: CWE-346 (Origin Validation Error)
Betroffene Plattformen
- Plattformen: Windows
- Architekturen: Alle
Betroffene Pakete
Die Sicherheitsanfälligkeit betrifft Microsoft .NET-Projekte, die eine der unten aufgeführten betroffenen Paketversionen verwenden:
| Paketname | Betroffene Version | Bereinigte Version |
|---|---|---|
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
Häufig gestellte Fragen (FAQ)
Wie stelle ich fest, ob ich betroffen bin?
Wenn Sie ein Paket verwenden, das im Abschnitt für betroffene Pakete aufgeführt ist, ist Ihre Anwendung für diese Sicherheitsanfälligkeit anfällig.
Wie behebe ich das Problem?
- Installieren Sie die neueste Version von .NET. Wenn Sie mindestens ein .NET SDK über Visual Studio installiert haben, fordert Visual Studio Sie zu einem Update auf, wodurch auch Ihre .NET SDKs aktualisiert werden.
- Wenn Ihre Anwendung auf ein betroffenes Paket verweist, aktualisieren Sie die Paketreferenz auf die bereinigte Version. Sie können die installierten Versionen mit dem Befehl
dotnet --infoauflisten.
Starten Sie Ihre Anwendungen nach der Installation der aktualisierten Runtime oder des SDK neu, damit die Änderungen wirksam werden.
Zusätzlich gilt: Wenn Sie eigenständige Anwendungen (self-contained applications) bereitgestellt haben, die auf eine der betroffenen Versionen abzielen, sind auch diese anfällig und müssen neu kompiliert und bereitgestellt werden.
Weitere Informationen
Melden von Sicherheitsproblemen
Wenn Sie ein potenzielles Sicherheitsproblem in einer unterstützten Version von .NET finden, melden Sie dieses bitte über das MSRC-Forscherportal. an das Microsoft Security Response Center (MSRC). Weitere Informationen finden Sie in den MSRC-FAQs zum Melden eines Problems.
Über das MSRC eingereichte Sicherheitsberichte können für das Microsoft .NET Bounty-Programm qualifiziert sein. Einzelheiten sowie die Geschäftsbedingungen des Microsoft .NET Bounty-Programms finden Sie unter https://aka.ms/corebounty.
Support
Fragen zu diesem Problem können Sie auf GitHub in der .NET-Organisation stellen. Die Haupt-Repositories befinden sich unter https://github.com/dotnet/runtime. Das Ankündigungs-Repository (https://github.com/dotnet/Announcements) enthält diesen Hinweis als Issue mit einem Link zu einem Diskussions-Issue.
Haftungsausschluss
Die in diesem Hinweis enthaltenen Informationen werden „wie besehen“ und ohne jegliche Gewährleistung bereitgestellt. Microsoft lehnt jede ausdrückliche oder stillschweigende Gewährleistung ab, einschließlich der Gewährleistung für die Marktgängigkeit und Eignung für einen bestimmten Zweck. In keinem Fall haften die Microsoft Corporation oder ihre Lieferanten für Schäden jedweder Art, einschließlich direkter, indirekter, zufälliger oder Folgeschäden, entgangenen Geschäftsgewinns oder besonderer Schäden, selbst wenn die Microsoft Corporation oder ihre Lieferanten auf die Möglichkeit solcher Schäden hingewiesen wurden. Da einige Staaten den Ausschluss oder die Beschränkung der Haftung für Folge- oder Zufallsschäden nicht zulassen, gilt die vorstehende Beschränkung möglicherweise nicht.
Externe Links
Danksagungen
- nono
- piropatriot
- Ali Az
- Anonymous
- kayiz mit Lien Phat Technology Corporation
- Muhammad Abdul Rehman
- Ky0toFu (@ky0tofu)
Versionsverlauf
V1.0 (10/13/2026): Hinweis veröffentlicht.
Was zu tun ist
- Installieren Sie die neueste Version von .NET. Bei Verwaltung über Visual Studio führen Sie die angebotene Visual Studio-Aktualisierung durch, um SDKs zu patchen.
- Aktualisieren Sie Paketverweise auf die behobene Version. Die installierten Versionen können mit
dotnet --infoermittelt werden.
Nach der Installation der Runtime oder des SDK müssen betroffene Anwendungen neu gestartet werden.
Bereitgestellte eigenständige Anwendungen müssen für die betroffenen Versionen neu kompiliert und verteilt werden.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 9.0.21, 10.0.13, 8.0.32, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 9.0.21, 10.0.13, 8.0.32, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 9.0.21, 10.0.13, 8.0.32, 11.0.0-rc.2 |
Verweise
- https://github.com/dotnet/wpf/security/advisories/GHSA-fq6x-pvr9-888r
- https://github.com/dotnet/announcements/issues/482
- https://github.com/dotnet/wpf/issues/12025
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-96234
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96234
- CVSS-Vektor
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N- Schwäche (CWE)
CWE-346- Plattform
- .NET (NuGet)
- Paket
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Veröffentlicht
- 13.10.2026
- Aktualisiert
- 19.10.2026 22:17
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-fq6x-pvr9-888r - CC BY 4.0
Schwachstellenhistorie: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Alle veröffentlichten Schwachstellen dieses Pakets (.NET (NuGet)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 19
- Erste → letzte
- 12.2022 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 16
- Mittel 3
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Microsoft-Sicherheitshinweis CVE-2026-96234 – Sicherheitsanfälligkeit in .NET und Visual Studio bezüglich der Offenlegung von Informationen dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.