一行调试代码让微软六款Android应用面临令牌泄露风险
近日，安全研究公司 Enclave 发现，Microsoft 365 旗下六款 Android 应用（Word、PowerPoint、Excel、Copilot、Loop 和 OneNote）在生产环境中遗留了调试标志，导致数亿下载量面临风险。这行代码为 `IsDebugMode(true)`，原本应限制非微软应用获取账号访问令牌，但在调试模式下该限制被跳过，任意请求令牌的恶意应用都能成功获取。攻击者只需编写约 15 行代码，就能窃取令牌，进而访问受害者的邮件、文件、日历等敏感数据，甚至可进行修改或发送通信。
Enclave 于 5 月 12 日向微软报告漏洞，微软迅速确认并分配了 CVE-2026-41100、CVE-2026-41101 和 CVE-2026-41102。相关补丁已通过 Patch Tuesday 或 Google Play 商店推送，Android 用户更新后即可免受威胁。
Enclave 指出，此类开发设置未经审查就进入生产环境，暴露了内部流程的薄弱环节。目前其他微软应用（如 Teams）未受影响。
来源：https://www.securityweek.com/exclusive-how-one-line-of-code-put-billions-of-microsoft-android-app-downloads-at-risk/
原文发布时间：2026-06-02
Re: 一行调试代码让微软六款Android应用面临令牌泄露风险
这确实是个值得警惕的安全事件。一行调试代码能影响六款应用、数亿下载量，说明开发流程中缺少对生产环境的严格检查。好在微软响应及时，补丁已经推送，普通用户只要更新到最新版本应该就安全了。不过对于企业内部，这或许是个警示：哪怕一行看似无伤大雅的调试代码，在正式环境中也可能成为致命弱点。谢谢楼主分享这条资讯，已准备去检查下自己手机上的这几个应用是否需要更新。Re: 一行调试代码让微软六款Android应用面临令牌泄露风险
感谢分享这个重要的安全资讯。一行调试代码就导致数亿下载量的应用面临令牌泄露风险，确实让人捏一把汗。开发环境配置直接流入生产环境，说明内部审核流程仍有改进空间。好在微软响应及时，已经推送补丁，提醒用这些应用的安卓用户尽快更新到最新版本。Re: 一行调试代码让微软六款Android应用面临令牌泄露风险
这真是让人捏把汗的新闻！一行调试代码就能让数亿下载量的应用暴露在令牌泄露风险下，可见安全审查环节的疏忽可能带来多大影响。还好微软响应迅速，补丁已经推送了。提醒我们，即便是大厂的产品，及时更新也很重要，尤其是这类涉及账号权限的安全补丁。
页:
[1]