CVE-2026-12117
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W Devolutions Server 2026.2.5 występuje niewłaściwa kontrola dostępu w punkcie końcowym logowania społecznościowego, co pozwala uwierzytelnionemu członkowi skarbca na enumerację metadanych logowania społecznościowego, do których nie ma uprawnień.
Ocena ryzyka
Organizacja może być narażona na ujawnienie informacji o metadanych logowania społecznościowego, co może prowadzić do dalszych ataków lub naruszeń prywatności.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Devolutions Server oraz wdrożenie odpowiednich kontroli dostępu, aby zapobiec nieautoryzowanemu dostępowi do metadanych.
Inne podatności w Devolutions Server 2026.2.5
Zobacz wszystkie- CVE-2026-17570Średnie
W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.
- CVE-2026-17569Średnie
Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.
- CVE-2026-17568Wysokie
Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi niebędącemu administratorem, posiadającemu uprawnienia do zarządzania członkostwem w grupach użytkowników, eskalację uprawnień do administratora poprzez spreparowane żądanie API. Problem dotyczy wersji od 2026.2.4.0 do 2026.2.12.0 oraz 2026.1.23.0 i wcześniejszych.
- CVE-2026-15642Niskie
W Devolutions Server 2026.1.22.0 i 2026.2.11.0 w funkcji generowania pliku odpowiedzi Recovery Kit następuje wstawienie poufnych informacji do pliku. Umożliwia to atakującemu z dostępem do wygenerowanego pliku odczytanie sekretu klienta Azure Key Vault w postaci jawnego tekstu, nawet gdy wybrano opcję wykluczenia poufnych danych.
- CVE-2026-15641Wysokie
Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami zatwierdzenie własnego oczekującego żądania dostępu poprzez bezpośrednie wywołanie endpointu statusu żądania, z pominięciem wymaganego przeglądu przez osobę zatwierdzającą.
- CVE-2026-15637Wysokie
Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami ujawnienie klucza prywatnego SSH lub certyfikatu PAM poprzez bezpośrednie odwołanie do identyfikatora poświadczenia. Problem dotyczy punktów końcowych pobierania kluczy SSH i certyfikatów PAM.
- CVE-2026-15058Niskie
Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi usunięcie wiadomości innego użytkownika poprzez bezpośrednie odwołanie do identyfikatora wiadomości w punkcie końcowym usuwania bezpiecznych wiadomości. Problem wynika z nieprawidłowej autoryzacji.
- CVE-2026-14536Wysokie
W Devolutions Server 2026.2.9.0 stwierdzono nieprawidłowe egzekwowanie obowiązkowej polityki uwierzytelniania wieloskładnikowego (MFA). Atakujący posiadający prawidłowe dane logowania użytkownika może ominąć politykę wymagającą MFA i uwierzytelnić się bez przejścia pełnego procesu MFA. Problem występuje, gdy DVLS napotka nieprawidłową domyślną wartość MFA.
- CVE-2026-12755Niskie
Podatność w Devolutions Server w wersjach 2026.2.4.0 do 2026.2.7.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem UserGroupsView wymuszenie uwierzytelnienia po stronie serwera na kontrolowanym przez atakującego hoście. Poprzez spreparowany parametr DomainName w punktach końcowych wykrywania PAM AD, atakujący może przechwycić dane uwierzytelniające dostawcy PAM w postaci odpowiedzi wyzwania NTLMv2.
- CVE-2026-12105Średnie
W Devolutions Server 2026.2.5 oraz 2026.1.21 występuje niewłaściwa kontrola dostępu, która pozwala uwierzytelnionemu użytkownikowi na dostęp do załączników poprzez duplikację folderów z dziedziczonymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Improper access control in the social login connection endpoint in Devolutions Server 2026.2.5 allows an authenticated vault member to enumerate social login entry metadata to which they are not authorized via a crafted API request.