Biuletyn bezpieczeństwa Microsoft CVE-2026-96229 – luka ujawnienia informacji w .NET i Visual Studio
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie
Firma Microsoft publikuje niniejszy biuletyn bezpieczeństwa, aby przekazać informacje o luce w zabezpieczeniach w bibliotece Microsoft.WindowsDesktop.App.Runtime (WPF). Biuletyn zawiera także wskazówki dla programistów dotyczące aktualizacji aplikacji w celu usunięcia tej podatności.
Zaostrzone poprawki bezpieczeństwa XAML i XPS blokują niebezpieczne pobieranie identyfikatorów URI oraz nawigację, propagują stan niezaufanych danych wejściowych podczas nawigacji za pomocą hiperłączy, wprowadzają ochronę czcionek TrueType i limity głębokości zagnieżdżenia XAML, a także zapobiegają buforowaniu pozytywnych decyzji dotyczących zasad strefy DNS.
Ogłoszenie
Ogłoszenie dotyczące tej kwestii można znaleźć pod adresem https://github.com/dotnet/announcements/issues/477
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Umiarkowana (Moderate)
- Wynik: 6.5
- Wektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N - Słabość: CWE-183 (Permissive List of Allowed Inputs)
Platformy objęte usterką
- Platformy: Windows
- Architektury: Wszystkie
Pakiety objęte usterką
Luka dotyczy projektów Microsoft .NET korzystających z wymienionych poniżej wersji pakietów.
Często zadawane pytania (FAQ)
Jak sprawdzić, czy problem mnie dotyczy?
Jeśli korzystasz z pakietu wymienionego w sekcji dotyczącej pakietów objętych problemem, aplikacja jest narażona na tę lukę.
Jak rozwiązać ten problem?
- Aby rozwiązać problem, zainstaluj najnowszą wersję platformy .NET. W przypadku zainstalowania zestawów .NET SDK za pośrednictwem Visual Studio, program wyświetli monit o aktualizację środowiska Visual Studio, co spowoduje również aktualizację zestawów .NET SDK.
- Jeśli Twoja aplikacja odwołuje się do podatnego pakietu, zaktualizuj odwołanie do wersji z poprawką. Zainstalowane wersje można wyświetlić, uruchamiając polecenie
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub pakietu SDK uruchom ponownie aplikacje, aby zmiany weszły w życie.
Ponadto, jeśli wdrożono aplikacje autonomiczne (self-contained)) korzystające z podatnych wersji, one również są narażone i muszą zostać ponownie skompilowane oraz wdrożone.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem portalu badaczy MSRC.). Dodatkowe informacje można znaleźć w sekcji MSRC Report an Issue FAQ.).
Zgłoszenia bezpieczeństwa przesłane za pośrednictwem MSRC mogą kwalifikować się do programu nagród Microsoft .NET Bounty. Szczegóły programu Microsoft .NET Bounty, w tym jego warunki i zasady, są dostępne pod adresem https://aka.ms/corebounty..
Pomoc techniczna
Pytania dotyczące tej kwestii można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium Announcements (https://github.com/dotnet/Announcements)) zawiera niniejszy biuletyn w formie zgłoszenia wraz z łączem do wątku dyskusyjnego, w którym można zadawać pytania.
Zrzeczenie się odpowiedzialności
Informacje zawarte w niniejszym biuletynie są dostarczane w stanie „takim, w jakim są”, bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, wtórne, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody wtórne lub przypadkowe, w związku z czym powyższe ograniczenie może nie mieć zastosowania.
Łącza zewnętrzne
Podziękowania
- Omar Khaleel (@omarkhalil1138)
- Ali Az
- nono
Historia zmian
V1.0 (10/13/2026): Opublikowano biuletyn.
Co trzeba zrobić
Aby usunąć podatność:
- Zainstaluj najnowszą wersję środowiska .NET. Jeśli pakiety .NET SDK zainstalowano przez Visual Studio, zaktualizuj Visual Studio zgodnie z wyświetlanym monitem.
- Zaktualizuj bezpośrednie zależności projektowe do wskazanych wersji załatanych. Zainstalowane wersje można sprawdzić poleceniem
dotnet --info. - Uruchom ponownie aplikacje po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub pakietu SDK.
- Zrekompiluj i wdróż ponownie aplikacje autonomiczne (self-contained) oparte na podatnych wersjach.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32 | 9.0.21, 10.0.13, 11.0.0-rc.2, 8.0.32 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32 | 9.0.21, 10.0.13, 11.0.0-rc.2, 8.0.32 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, < 9.0.21, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.32 | 9.0.21, 10.0.13, 11.0.0-rc.2, 8.0.32 |
Odnośniki
- https://github.com/dotnet/wpf/security/advisories/GHSA-5qr9-xxm9-6cmq
- https://github.com/dotnet/announcements/issues/477
- https://github.com/dotnet/wpf/issues/12023
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-96229
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96229
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-183- Platforma
- .NET (NuGet)
- Paczka
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-5qr9-xxm9-6cmq - CC BY 4.0
Historia podatności: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 19
- Pierwsza → ostatnia
- 12.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 16
- Średnia 3
Ujawnienia w latach
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Biuletyn bezpieczeństwa Microsoft CVE-2026-96229 – luka ujawnienia informacji w .NET i Visual Studio ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.