Entra Provisioning Service heeft kritiek lek met CVSS-score 9,9

In de Microsoft Entra Provisioning Service (SyncFabric) zit een kwetsbaarheid met een CVSS-score van 9,9 op 10. Het lek is geregistreerd als CVE-2026-59115 en staat sinds 7 augustus 2026 in de GitHub Advisory Database, met de ernst Critical.

Volgens de beschrijving gaat het om een path traversal van het type '.../...//', in de database ingedeeld als CWE-35. Een geautoriseerde aanvaller kan daarmee via het netwerk hogere rechten verkrijgen.

De CVSS 3.1-basiswaarden laten zien onder welke voorwaarden dat kan. Volgens die waarden loopt de aanval via het netwerk, met een lage complexiteit, lage vereiste rechten en zonder handeling van een gebruiker. De scope staat op Changed en de impact op vertrouwelijkheid, integriteit en beschikbaarheid is in alle 3 gevallen High.

Het advies heeft in de database de status Unreviewed. Een getroffen pakket, getroffen versies en gepatchte versies zijn niet vermeld. Als referenties noemt het advies de National Vulnerability Database, die de melding ook op 7 augustus 2026 publiceerde, en de Security Update Guide van het Microsoft Security Response Center.