Ludo617

🚨🔴 CYBERALERT 🇫🇷 MONDE 🔴 | Varonis a publié SearchLeak, une recherche qui montre comment Microsoft 365 Copilot Enterprise peut devenir un aspirateur de données sensibles… en un seul clic 👇🏾 👉🏾 M365 Copilot Enterprise, c'est l'assistant IA premium de Microsoft, intégré à Outlook, Teams et SharePoint. Il peut interroger, en langage naturel, les données auxquelles l'utilisateur a déjà accès dans le tenant : emails, documents, réunions, notes, etc. 👉🏾 SearchLeak, publié le 15 juin 2026 par @varonis Threat Labs, démontre une chaîne d'attaque en 3 étapes sur Copilot Enterprise. Le chercheur Dolev Taler a combiné plusieurs failles pour transformer un simple lien en attaque one-click capable d'exfiltrer des données. 👉🏾 Sur le papier, les 3 bugs chainés sont très sexy : La 1ère vuln, une injection Parameter-to-Prompt (P2P), où le paramètre ?q= de l'URL de recherche Copilot est passé directement au prompt de l’IA. La 2ème vuln, une race condition HTML via une balise <img> dans la réponse de l'IA, qui peut se déclencher avant que le sanitizer ait fini son travail. La 3ème vuln, un contournement d'une CSP via Bing, utilisé comme relais d’exfiltration vers l'infra de l'attaquant. 👉🏾 En quelques secondes, avec une seule requête bien craftée, l'attaquant peut viser : les emails, les codes OTP / liens de reset de mot de passe, l'agenda, les notes de réunion, les fichiers SharePoint et OneDrive. 👉🏾 Et le plus vicieux dans cette chaîne d'exploitation, le lien envoyé à la victime peut pointer vers un vrai domaine Microsoft. Donc certains filtres anti-spam laissent passer l'attaque sans broncher. 👉🏾 C'est la deuxième fois que @VaronisFR met en lumière ce type de chaîne "one-click" : avant ça, Reprompt avait déjà montré une attaque similaire contre Copilot Personal. Pareil avec EchoLeak aussi. Microsoft a corrigé la vulnérabilité, suivie comme CVE-2026-42824 (critique). On entre clairement dans une nouvelle ère : des bugs web classiques, mais amplifiés par des assistants IA à qui on fait faire n'importe quoi. Cybèrement vôtre, SaxX ¯\_(ツ)_/¯

>VibeCoder un site internet comme 2 gouttes d'eau >Lancer des préventes à 1€ >Demander au gens de rentrer leurs coordonnées bancaires pour sécuriser la place >Les gens ne vont quand même pas le faire 😬 Attention ⚠️ NE DONNEZ PAS SANS RÉFLÉCHIR VOS DONNÉES BANCAIRES. Certains sites sont totalement faux !