CVE-2025-11958
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W Devolutions Server 2025.2.15.0 i wcześniejszych występuje nieprawidłowa walidacja danych wejściowych w API ignorowanych zadań Security Dashboard. Uwierzytelniony użytkownik może spowodować odmowę usługi dla Security Dashboard poprzez spreparowane żądanie.
Ocena ryzyka
Uwierzytelniony atakujący może wywołać odmowę usługi, uniemożliwiając dostęp do Security Dashboard. Może to zakłócić monitorowanie bezpieczeństwa i reagowanie na incydenty.
Rekomendacja
Należy zaktualizować Devolutions Server do wersji nowszej niż 2025.2.15.0. Zaleca się również ograniczenie uprawnień użytkowników i monitorowanie nietypowych żądań API.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-9226Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie zewnętrznego logowania Azure AD. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego tokenu sesji logowania ujawnionego w adresie URL przekierowania.
- CVE-2026-105488Wysokie
Brak autoryzacji w globalnym sejfie w Devolutions Server 2026.3.7.0 i wcześniejszych wersjach pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tylko do podglądu globalnego sejfu na modyfikowanie i usuwanie globalnych wpisów kontaktów oraz folderów.
- CVE-2026-105485Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie autoryzacji urządzenia OAuth. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego linku weryfikacji urządzenia przez uwierzytelnioną ofiarę.
- CVE-2026-93332Średnie
Niewłaściwa kontrola dostępu w API połączeń częściowych w Devolutions Server 2026.3.5.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt, tworzenie, modyfikowanie i usuwanie wpisów System Vault poprzez spreparowane żądanie API.
- CVE-2026-100288Wysokie
Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.
- CVE-2026-13327Wysokie
Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
An improper input validation in the Security Dashboard ignored-tasks API of Devolutions Server 2025.2.15.0 and earlier allows an authenticated user to cause a denial of service to the Security Dashboard via a crafted request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS