CVE-2026-116627
Niskie ryzyko· EPSS 5%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność typu Cross-site Scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony) w funkcji powiadomień w Devolutions PowerShell Universal 2026.3.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z uprawnieniem do tworzenia powiadomień na wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez spreparowany docelowy URL powiadomienia.
Ocena ryzyka
Uwierzytelniony użytkownik może wykonać dowolny JavaScript w przeglądarce innego użytkownika, co może prowadzić do kradzieży sesji lub działań w imieniu ofiary. Wymaga to jednak uprawnienia do tworzenia powiadomień.
Rekomendacja
Zaktualizuj Devolutions PowerShell Universal do wersji nowszej niż 2026.3.0 zawierającej poprawkę. Ogranicz uprawnienia do tworzenia powiadomień do zaufanych użytkowników.
Inne podatności w Devolutions PowerShell Universal
Zobacz wszystkie- CVE-2026-92237Średnie
W Devolutions PowerShell Universal w wersji 2026.2.5 i wcześniejszych funkcja rejestrowania wolnych zapytań (slow query logging) zapisuje do dziennika systemowego wartości parametrów SQL, w tym dane wrażliwe. Uwierzytelniony użytkownik z uprawnieniem do odczytu logów może w ten sposób uzyskać tokeny aplikacji, materiał klucza ochrony danych oraz inne przechowywane poświadczenia na instancjach korzystających z Microsoft SQL Server.
- CVE-2026-19768Wysokie
W Devolutions PowerShell Universal w wersji 2026.2.3 i wcześniejszych wykryto podatność polegającą na niewłaściwej kontroli generowania kodu (Code Injection) w funkcji ustawień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell poprzez spreparowaną wartość ustawienia, która nie jest poprawnie escapowana podczas zapisu do pliku konfiguracyjnego.
- CVE-2026-16802Średnie
W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych przechowuje tajne wartości w postaci jawnego tekstu na dysku, gdy nie wybrano magazynu (vault). Lokalny atakujący z dostępem do systemu plików może odczytać te sekrety.
- CVE-2026-16801Wysokie
W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych nieprawidłowo kontroluje generowanie kodu (wstrzykiwanie kodu). Uwierzytelniony użytkownik z uprawnieniami do zapisu zmiennych może wykonać dowolny kod PowerShell poprzez spreparowaną wartość zmiennej, która nie jest odpowiednio escapowana przy zapisie do pliku konfiguracyjnego.
- CVE-2026-16800Wysokie
Podatność na wstrzykiwanie kodu w funkcji harmonogramu w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do tworzenia harmonogramów może wykonać dowolny kod PowerShell poprzez spreparowane nazwy parametrów harmonogramu.
- CVE-2026-16799Średnie
Brak kontroli dostępu w funkcjach testów automatyzacji i przepływów pracy w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z rolą Czytelnika może wykonywać testy automatyzacji i modyfikować właściwości przepływów pracy z powodu braku autoryzacji po stronie serwera.
- CVE-2026-16798Średnie
Wyciek wrażliwych informacji w API zadań automatyzacji w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do odczytu zadań lub skryptów może uzyskać token odświeżania OAuth innego użytkownika poprzez odpowiedzi API, które nie usuwają tego tokena.
- CVE-2026-13437Średnie
W Devolutions PowerShell Universal 2026.2.0 wykryto podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych w API zadań AI Agenta. Uwierzytelniony użytkownik z dostępem do odczytu AI Agenta może uzyskać wielokrotnego użytku tokeny uwierzytelniające o potencjalnie wyższych uprawnieniach, które są serializowane w postaci jawnego tekstu w odpowiedziach API zadań.
- CVE-2026-8694Średnie
W Devolutions PowerShell Universal w wersji 2026.1.7 i wcześniejszych występuje niewłaściwa kontrola dostępu, która pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie specyfikacji OpenAPI zdefiniowanych przez użytkownika punktów końcowych REST.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation ('Cross-site Scripting') in the notifications feature in Devolutions PowerShell Universal 2026.3.0 and earlier allows an authenticated user with notification creation permission to execute arbitrary JavaScript in the browser of another user via a crafted notification target URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS