CVE-2026-121580

W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.

Przesyłanie poufnych informacji w postaci jawnej w teście konfiguracji e-mail w Devolutions Server 2026.3.13.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do akcji testowej uzyskać zapisane hasło SMTP poprzez żądanie wskazujące hosta SMTP kontrolowanego przez atakującego.

Przechowywanie poufnych informacji w postaci jawnej w danych konta użytkownika w Devolutions Server 2026.3.12.0 i wcześniejszych pozwala atakującemu z dostępem do odczytu bazy danych lub jej kopii zapasowej uzyskać wspólne sekrety TOTP użytkowników poprzez niezaszyfrowaną kopię klucza bezpieczeństwa zapisywaną przy zapisie użytkownika przez administratora.

Wstawienie poufnych informacji do wysyłanych danych w synchronizacji użytkowników dostawcy tożsamości w Devolutions Server 2026.3.13.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z delegowanym uprawnieniem do aktualizacji użytkowników z dostawcy tożsamości uzyskać sekrety MFA innych użytkowników poprzez odpowiedź API synchronizacji.

Server-side request forgery w walidacji poświadczeń Active Directory w Devolutions Server 2026.3.12.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach przechwycić hash NetNTLMv2 konta usługi DVLS poprzez nazwę domeny kontrolowaną przez atakującego w żądaniu.

Podatność w Devolutions Server (wersje 2025.3.2.0–2026.2.22.0) polega na nieprawidłowym zwalnianiu wygasłych uprzywilejowanych sesji PAM w zadaniu zaplanowanego check-inu. Uwierzytelniony użytkownik z prawem checkout może zachować dostęp do konta PAM na systemie docelowym po wygaśnięciu sesji, jeśli w kolejce znajduje się 21 lub więcej nowszych aktywnych checkoutów, co blokuje check-in wygasłej sesji i rotację hasła.

W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.