CVE-2026-80092

Microsoft Identity Web est une bibliothèque utilisée par les développeurs pour intégrer l'authentification et l'autorisation dans les applications ASP.NET Core. La faille provient du fait que la bibliothèque considère à tort certaines données comme immuables, ce qui permet à un utilisateur de manipuler ses propres revendications d'identité (claims). En modifiant ces données, un utilisateur peut tromper le système pour s'octroyer des permissions plus élevées que celles auxquelles il aurait droit.

Un attaquant disposant d'un compte avec des privilèges limités peut exploiter cette faille via un réseau pour obtenir un accès non autorisé à des données sensibles, compromettant ainsi la confidentialité. Bien que l'impact soit élevé, l'attaque est difficile à exécuter en raison de sa grande complexité. Aucune interaction d'un tiers n'est requise, mais l'attaquant doit déjà être authentifié sur le système.