CVE-2026-16799
ŚrednieCVSS 5.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Brak kontroli dostępu w funkcjach testów automatyzacji i przepływów pracy w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z rolą Czytelnika może wykonywać testy automatyzacji i modyfikować właściwości przepływów pracy z powodu braku autoryzacji po stronie serwera.
Ocena ryzyka
Użytkownik o niskich uprawnieniach może eskalować swoje przywileje, wykonując nieautoryzowane operacje, co narusza integralność i poufność systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oraz wdrożenie ścisłej kontroli dostępu opartej na rolach (RBAC) po stronie serwera.
Inne podatności w Devolutions PowerShell Universal
Zobacz wszystkie- CVE-2026-19768Wysokie
W Devolutions PowerShell Universal w wersji 2026.2.3 i wcześniejszych wykryto podatność polegającą na niewłaściwej kontroli generowania kodu (Code Injection) w funkcji ustawień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell poprzez spreparowaną wartość ustawienia, która nie jest poprawnie escapowana podczas zapisu do pliku konfiguracyjnego.
- CVE-2026-16802Średnie
W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych przechowuje tajne wartości w postaci jawnego tekstu na dysku, gdy nie wybrano magazynu (vault). Lokalny atakujący z dostępem do systemu plików może odczytać te sekrety.
- CVE-2026-16801Wysokie
W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych nieprawidłowo kontroluje generowanie kodu (wstrzykiwanie kodu). Uwierzytelniony użytkownik z uprawnieniami do zapisu zmiennych może wykonać dowolny kod PowerShell poprzez spreparowaną wartość zmiennej, która nie jest odpowiednio escapowana przy zapisie do pliku konfiguracyjnego.
- CVE-2026-16800Wysokie
Podatność na wstrzykiwanie kodu w funkcji harmonogramu w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do tworzenia harmonogramów może wykonać dowolny kod PowerShell poprzez spreparowane nazwy parametrów harmonogramu.
- CVE-2026-16798Średnie
Wyciek wrażliwych informacji w API zadań automatyzacji w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do odczytu zadań lub skryptów może uzyskać token odświeżania OAuth innego użytkownika poprzez odpowiedzi API, które nie usuwają tego tokena.
- CVE-2026-13437Średnie
W Devolutions PowerShell Universal 2026.2.0 wykryto podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych w API zadań AI Agenta. Uwierzytelniony użytkownik z dostępem do odczytu AI Agenta może uzyskać wielokrotnego użytku tokeny uwierzytelniające o potencjalnie wyższych uprawnieniach, które są serializowane w postaci jawnego tekstu w odpowiedziach API zadań.
- CVE-2026-8694Średnie
W Devolutions PowerShell Universal w wersji 2026.1.7 i wcześniejszych występuje niewłaściwa kontrola dostępu, która pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie specyfikacji OpenAPI zdefiniowanych przez użytkownika punktów końcowych REST.
Oryginalny opis (angielski, źródło NVD)
Improper access control in the automation tests and workflows features in Devolutions PowerShell Universal 2026.2.2 and earlier allows an authenticated user with only the Reader role to execute automation tests and modify workflow properties via missing server-side authorization checks.