CVE-2026-15058
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi usunięcie wiadomości innego użytkownika poprzez bezpośrednie odwołanie do identyfikatora wiadomości w punkcie końcowym usuwania bezpiecznych wiadomości. Problem wynika z nieprawidłowej autoryzacji.
Ocena ryzyka
Organizacja narażona jest na utratę poufności i integralności komunikacji wewnętrznej, ponieważ atakujący może celowo usuwać wiadomości innych użytkowników, co może prowadzić do zakłóceń w pracy lub ukrycia dowodów.
Rekomendacja
Należy niezwłocznie zaktualizować Devolutions Server do wersji zawierającej poprawkę bezpieczeństwa oraz wdrożyć mechanizmy kontroli dostępu oparte na identyfikatorze użytkownika dla punktów końcowych zarządzania wiadomościami.
Oryginalny opis (angielski, źródło NVD)
Improper authorization in the secure messages deletion endpoint in Devolutions Server 2026.2.11, 2026.1.22 allows an authenticated user to delete another user's messages via a direct object reference to the message identifier.