CVE-2026-15641
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami zatwierdzenie własnego oczekującego żądania dostępu poprzez bezpośrednie wywołanie endpointu statusu żądania, z pominięciem wymaganego przeglądu przez osobę zatwierdzającą.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane przyznanie dostępu do zasobów, co może prowadzić do naruszenia poufności i integralności danych oraz eskalacji uprawnień przez nieuprawnionych użytkowników.
Rekomendacja
Należy niezwłocznie zaktualizować Devolutions Server do wersji zawierającej poprawkę oraz przejrzeć i cofnąć wszelkie nieautoryzowane zatwierdzenia żądań dostępu.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-17570Średnie
W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.
- CVE-2026-17569Średnie
Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.
- CVE-2026-17568Wysokie
Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi niebędącemu administratorem, posiadającemu uprawnienia do zarządzania członkostwem w grupach użytkowników, eskalację uprawnień do administratora poprzez spreparowane żądanie API. Problem dotyczy wersji od 2026.2.4.0 do 2026.2.12.0 oraz 2026.1.23.0 i wcześniejszych.
- CVE-2026-15642Niskie
W Devolutions Server 2026.1.22.0 i 2026.2.11.0 w funkcji generowania pliku odpowiedzi Recovery Kit następuje wstawienie poufnych informacji do pliku. Umożliwia to atakującemu z dostępem do wygenerowanego pliku odczytanie sekretu klienta Azure Key Vault w postaci jawnego tekstu, nawet gdy wybrano opcję wykluczenia poufnych danych.
- CVE-2026-15637Wysokie
Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami ujawnienie klucza prywatnego SSH lub certyfikatu PAM poprzez bezpośrednie odwołanie do identyfikatora poświadczenia. Problem dotyczy punktów końcowych pobierania kluczy SSH i certyfikatów PAM.
- CVE-2026-15058Niskie
Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi usunięcie wiadomości innego użytkownika poprzez bezpośrednie odwołanie do identyfikatora wiadomości w punkcie końcowym usuwania bezpiecznych wiadomości. Problem wynika z nieprawidłowej autoryzacji.
- CVE-2026-14536Wysokie
W Devolutions Server 2026.2.9.0 stwierdzono nieprawidłowe egzekwowanie obowiązkowej polityki uwierzytelniania wieloskładnikowego (MFA). Atakujący posiadający prawidłowe dane logowania użytkownika może ominąć politykę wymagającą MFA i uwierzytelnić się bez przejścia pełnego procesu MFA. Problem występuje, gdy DVLS napotka nieprawidłową domyślną wartość MFA.
- CVE-2026-12755Niskie
Podatność w Devolutions Server w wersjach 2026.2.4.0 do 2026.2.7.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem UserGroupsView wymuszenie uwierzytelnienia po stronie serwera na kontrolowanym przez atakującego hoście. Poprzez spreparowany parametr DomainName w punktach końcowych wykrywania PAM AD, atakujący może przechwycić dane uwierzytelniające dostawcy PAM w postaci odpowiedzi wyzwania NTLMv2.
- CVE-2026-12117Średnie
W Devolutions Server 2026.2.5 występuje niewłaściwa kontrola dostępu w punkcie końcowym logowania społecznościowego, co pozwala uwierzytelnionemu członkowi skarbca na enumerację metadanych logowania społecznościowego, do których nie ma uprawnień.
- CVE-2026-12105Średnie
W Devolutions Server 2026.2.5 oraz 2026.1.21 występuje niewłaściwa kontrola dostępu, która pozwala uwierzytelnionemu użytkownikowi na dostęp do załączników poprzez duplikację folderów z dziedziczonymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
Improper authorization in the access request status endpoint in Devolutions Server 2026.2.11, 2026.1.22 allows an authenticated low-privileged user to approve their own pending access request via a direct call to the request status endpoint, bypassing the required approver review.