CVE-2026-16800
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność na wstrzykiwanie kodu w funkcji harmonogramu w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do tworzenia harmonogramów może wykonać dowolny kod PowerShell poprzez spreparowane nazwy parametrów harmonogramu.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem PowerShell Universal, wykonując dowolne polecenia, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej wersji Devolutions PowerShell Universal oraz ograniczenie uprawnień do tworzenia harmonogramów tylko dla zaufanych użytkowników.
Inne podatności w Devolutions PowerShell Universal
Zobacz wszystkie- CVE-2026-19768Wysokie
W Devolutions PowerShell Universal w wersji 2026.2.3 i wcześniejszych wykryto podatność polegającą na niewłaściwej kontroli generowania kodu (Code Injection) w funkcji ustawień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell poprzez spreparowaną wartość ustawienia, która nie jest poprawnie escapowana podczas zapisu do pliku konfiguracyjnego.
- CVE-2026-16802Średnie
W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych przechowuje tajne wartości w postaci jawnego tekstu na dysku, gdy nie wybrano magazynu (vault). Lokalny atakujący z dostępem do systemu plików może odczytać te sekrety.
- CVE-2026-16801Wysokie
W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych nieprawidłowo kontroluje generowanie kodu (wstrzykiwanie kodu). Uwierzytelniony użytkownik z uprawnieniami do zapisu zmiennych może wykonać dowolny kod PowerShell poprzez spreparowaną wartość zmiennej, która nie jest odpowiednio escapowana przy zapisie do pliku konfiguracyjnego.
- CVE-2026-16799Średnie
Brak kontroli dostępu w funkcjach testów automatyzacji i przepływów pracy w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z rolą Czytelnika może wykonywać testy automatyzacji i modyfikować właściwości przepływów pracy z powodu braku autoryzacji po stronie serwera.
- CVE-2026-16798Średnie
Wyciek wrażliwych informacji w API zadań automatyzacji w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do odczytu zadań lub skryptów może uzyskać token odświeżania OAuth innego użytkownika poprzez odpowiedzi API, które nie usuwają tego tokena.
- CVE-2026-13437Średnie
W Devolutions PowerShell Universal 2026.2.0 wykryto podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych w API zadań AI Agenta. Uwierzytelniony użytkownik z dostępem do odczytu AI Agenta może uzyskać wielokrotnego użytku tokeny uwierzytelniające o potencjalnie wyższych uprawnieniach, które są serializowane w postaci jawnego tekstu w odpowiedziach API zadań.
- CVE-2026-8694Średnie
W Devolutions PowerShell Universal w wersji 2026.1.7 i wcześniejszych występuje niewłaściwa kontrola dostępu, która pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie specyfikacji OpenAPI zdefiniowanych przez użytkownika punktów końcowych REST.
Oryginalny opis (angielski, źródło NVD)
Improper control of generation of code ('Code Injection') in the schedule feature in Devolutions PowerShell Universal 2026.2.2 and earlier allows an authenticated user with schedule creation permission to execute arbitrary PowerShell code via crafted schedule parameter names concatenated into a script invocation.