Ursache der Schwachstelle ist nach Angaben von Microsoft ein Regressionsfehler in den NuGet-Paketen Microsoft.AspNetCore.DataProtection der Versionen 10.0.0 bis 10.0.6. Wie das Unternehmen in den Versionshinweisen zu .NET 10.0.7 erläutert, berechnet der verwaltete authentifizierte Verschlüsseler seinen HMAC-Prüfwert über die falschen Bytes der Nutzlast und verwirft den berechneten Hash in bestimmten Fällen.
Durch die fehlerhafte Prüfung können Angreifer laut Microsoft Datenpakete fälschen, die die Echtheitskontrollen der Data Protection bestehen, und zuvor geschützte Inhalte entschlüsseln – etwa in Authentifizierungs-Cookies, Antiforgery-Tokens, TempData oder OIDC-State.
Besonders weitreichend ist eine mögliche Folge: Wenn ein Angreifer sich während des verwundbaren Zeitfensters mithilfe gefälschter Datenpakete als privilegierter Nutzer ausgegeben hat, könnte er die Anwendung dazu gebracht haben, ihm selbst legitim signierte Tokens auszustellen – beispielsweise zur Sitzungsverlängerung, als API-Schlüssel oder als Link zum Zurücksetzen eines Passworts. Diese Tokens bleiben nach Microsofts Angaben auch nach dem Upgrade auf 10.0.7 gültig, solange der Schlüsselbund (Key Ring) der Data Protection nicht ausgetauscht wird.
In einem Sicherheitshinweis ergänzte Microsoft, dass die Schwachstelle Angreifern auch das Offenlegen von Dateien und das Verändern von Daten ermöglicht, die Verfügbarkeit des Systems jedoch unberührt lässt. Senior Program Manager Rahul Bhandari riet betroffenen Kunden, das Paket umgehend auf Version 10.0.7 zu aktualisieren und neu auszurollen, um die Prüfroutine zu korrigieren. Weitere Angaben zu betroffenen Plattformen, Paketen und Anwendungskonfigurationen nennt Microsoft in der ursprünglichen Ankündigung.
Es ist nicht der erste schwerwiegende Fehler in ASP.NET Core: Im Oktober schloss Microsoft eine HTTP-Request-Smuggling-Schwachstelle (CVE-2025-55315) im Webserver Kestrel, die mit der bislang höchsten je vergebenen Schweregradeinstufung für eine ASP.NET-Core-Lücke versehen war. Über CVE-2025-55315 konnten authentifizierte Angreifer Anmeldedaten anderer Nutzer übernehmen, vorgelagerte Sicherheitskontrollen umgehen oder den Server zum Absturz bringen.