https://cyberveille.ch/tags/power-pages/ Recent content in Power Pages on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 18 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-18-exposition-massive-de-donnees-par-defaut-dans-microsoft-dataverse-et-power-pages/ Tue, 18 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-18-exposition-massive-de-donnees-par-defaut-dans-microsoft-dataverse-et-power-pages/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 14 août 2026 par Starknex (<a href="https://www.starknex.com/news-media/billgate-dataverse-powerpages-exfilsquad-research)">https://www.starknex.com/news-media/billgate-dataverse-powerpages-exfilsquad-research)</a>, cet article présente les résultats d&rsquo;une recherche en sécurité portant sur deux expositions distinctes mais liées affectant <strong>Microsoft Dataverse</strong> et <strong>Microsoft Power Pages</strong> (anciennement Power Apps Portals).</p> <h2 id="-exposition-1--dataverse-default-environments--comptes-invités-b2b">⚠️ Exposition 1 : Dataverse Default environments + comptes invités (B2B)</h2> <ul> <li>Les <strong>environnements Dataverse par défaut</strong> ne peuvent pas se voir attribuer un groupe de sécurité, rendant impossible le contrôle d&rsquo;accès au niveau de l&rsquo;environnement.</li> <li>Les <strong>utilisateurs invités (guest)</strong> présents dans un tenant peuvent lire la table <code>systemusers</code> via l&rsquo;<strong>API Web Dataverse standard</strong>.</li> <li>Cela expose l&rsquo;ensemble des informations utilisateurs du <strong>tenant Microsoft Entra ID</strong> : noms, titres de poste, adresses e-mail internes, UPNs, numéros de téléphone directs, identifiants objet Entra, informations de licence et statut activé/désactivé.</li> </ul> <h2 id="-exposition-2--api-web-power-pages--flux-odata">⚠️ Exposition 2 : API Web Power Pages / flux OData</h2> <ul> <li>Les sites <strong>Power Pages</strong> exposent des tables Dataverse aux visiteurs du site.</li> <li>Lorsqu&rsquo;une permission de table accorde un accès en lecture à portée <strong>globale</strong> aux rôles web <code>Anonymous Users</code> ou <code>Authenticated Users</code>, et que l&rsquo;<strong>API Web ou un flux OData</strong> est activé pour cette table, l&rsquo;intégralité de la table peut être récupérée via HTTPS.</li> <li>Si la permission est attribuée à <code>Anonymous Users</code>, <strong>aucune authentification n&rsquo;est requise</strong>.</li> </ul> <h2 id="-problème-connexe--authentification-invité-via-endpoint-entra">🔓 Problème connexe : authentification invité via endpoint Entra</h2> <ul> <li>Un endpoint de connexion Entra reste <strong>accessible même lorsque son bouton n&rsquo;est pas affiché</strong> sur la page de connexion d&rsquo;un portail Power Pages.</li> <li>Un utilisateur invité peut s&rsquo;authentifier via cet endpoint et obtenir des enregistrements en tant qu&rsquo;<code>Authenticated User</code>.</li> </ul> <h2 id="-impact">💥 Impact</h2> <p>L&rsquo;impact documenté inclut :</p>