In Microsoft Exchange Online besteht eine Server-Side-Request-Forgery-Schwachstelle (SSRF). Dabei bringt ein Angreifer den Server dazu, in seinem Namen Anfragen an Ziele zu senden, die er selbst nicht direkt erreichen dürfte. Da der Server diese Anfragen mit seiner eigenen, vertrauenswürdigen Identität und Netzwerkposition ausführt, lassen sich damit Zugriffsbeschränkungen umgehen. Ein nicht berechtigter Angreifer kann die Lücke über das Netzwerk ausnutzen und dadurch seine Rechte ausweiten, also Berechtigungen erlangen, die ihm eigentlich nicht zustehen. Eine vorherige Anmeldung ist dafür nicht erforderlich. Betroffen ist der cloudbasierte Exchange-Dienst, über den E-Mail- und Kalenderkommunikation vieler Organisationen läuft – eine erfolgreiche Rechteausweitung kann dort weitreichenden Zugriff auf Postfächer und Verwaltungsfunktionen bedeuten.