Microsoft heeft een actief aangevallen kwetsbaarheid in Power Pages gedicht waardoor een aanvaller zijn rechten kon verhogen en mogelijk de 'user registration control' omzeilen. Sinds wanneer aanvallers misbruik van het beveiligingslek maken laat Microsoft niet weten. Microsoft Power Pages is een SaaS (Software-as-a-service) platform waarmee gebruikers en organisaties eenvoudig websites kunnen maken en hosten.

Power Pages maakt gebruik van een role based access control (RBAC) model om het toegangsniveau van gebruikers te beheren. Daarbij wordt er gewerkt met anonieme en geauthenticeerde gebruikers. Gisterenavond kwam Microsoft met een beveiligingsbulletin waarin het voor de aangevallen kwetsbaarheid waarschuwt en stelt dat een update inmiddels voor de clouddienst is uitgerold. Details over het beveiligingslek (CVE-2025-24989), het waargenomen misbruik en aantal getroffen organisaties geeft Microsoft niet. Het techbedrijf zegt dat het alle getroffen klanten inmiddels heeft gewaarschuwd. De kwetsbaarheid zou door een eigen medewerker zijn ontdekt.