CVE-2026-19768
WysokieCVSS 8.1Streszczenie
W Devolutions PowerShell Universal w wersji 2026.2.3 i wcześniejszych wykryto podatność polegającą na niewłaściwej kontroli generowania kodu (Code Injection) w funkcji ustawień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell poprzez spreparowaną wartość ustawienia, która nie jest poprawnie escapowana podczas zapisu do pliku konfiguracyjnego.
Ocena ryzyka
Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub dalszego ataku w sieci.
Rekomendacja
Zaleca się aktualizację Devolutions PowerShell Universal do wersji nowszej niż 2026.2.3, która zawiera poprawkę. Należy również ograniczyć uprawnienia do zarządzania ustawieniami tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Improper control of generation of code ('Code Injection') in the settings feature in Devolutions PowerShell Universal 2026.2.3 and earlier allows an authenticated user with settings management permission to execute arbitrary PowerShell code via a crafted setting value that is not properly escaped when written to the settings configuration file.