CVE-2025-65037

criticalPriorität · verfolgen · 0EPSS 0.010 · 61. PerzentilDEEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.97% (61st) EPSS

CVSS 10 · critical

Is it mine?

5 products

Who says so?

4 sources

cnnvd · enisa_euvd · cert_bund · nvd

EPSS · bewertet 2026-10-21

Improper control of generation of code ('code injection') in Azure Container Apps allows an unauthorized attacker to execute code over a network.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

10.0

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.110criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:Csecondary · ENISA EU

v3.110criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hsecondary · secure@microsoft.com USAusnutzbarkeit 3.9 · Auswirkung 6

v3.19.1criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:Usecondary · CVSS-BT (t0sche)

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

Die CWE-Schwächeklassen, zu denen dies gehört.

Betroffene Produkte und Versionsbereiche.

Microsoft Azure Cognitive Service for Languagealle Versionencert_bundDEcpe:/a:microsoft:azure:cognitive_service_for_language
Microsoft Azure Container Appsalle Versionencert_bundDEcpe:/a:microsoft:azure:container_apps
Microsoft Azure Cosmos DBalle Versionencert_bundDEcpe:/a:microsoft:azure_cosmos_db:-
Microsoft Azure Container Appsalle Versionenenisa_euvdEU
microsoft azure container appsalle VersionennvdUScpe:2.3:a:microsoft:azure_container_apps:*:*:*:*:*:*:*:*

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2025-2890Microsoft Azure Komponenten: Mehrere SchwachstellenDeutsch2025-12-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Microsoft Azure Cosmos DB und anderen Microsoft Azure Komponenten ausnutzen, um seine Privilegien zu erweitern, beliebigen Code auszuführen und um einen Cross-Site Scripting Angriff zu starten.

Weitere Namen und Kennungen dieser Entität.

Welche Quellen diesen Datensatz belegen und wann.

veröffentlicht 2025-12-18geändert 2026-06-17

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.