CVE-2026-5171
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Niewłaściwa kontrola dostępu w funkcji dziennika aktywności wpisów w Devolutions Server pozwala uwierzytelnionemu użytkownikowi z dostępem do wpisu, ale bez wymaganych uprawnień, na pobranie dziennika aktywności tego wpisu poprzez spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.
Ocena ryzyka
Użytkownik może uzyskać nieautoryzowany dostęp do dzienników aktywności wpisów, co może prowadzić do wycieku poufnych informacji o działaniach innych użytkowników.
Rekomendacja
Zaleca się aktualizację Devolutions Server do wersji zawierającej poprawkę oraz przegląd uprawnień dostępu do dzienników aktywności.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-9226Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie zewnętrznego logowania Azure AD. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego tokenu sesji logowania ujawnionego w adresie URL przekierowania.
- CVE-2026-105488Wysokie
Brak autoryzacji w globalnym sejfie w Devolutions Server 2026.3.7.0 i wcześniejszych wersjach pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tylko do podglądu globalnego sejfu na modyfikowanie i usuwanie globalnych wpisów kontaktów oraz folderów.
- CVE-2026-105485Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie autoryzacji urządzenia OAuth. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego linku weryfikacji urządzenia przez uwierzytelnioną ofiarę.
- CVE-2026-93332Średnie
Niewłaściwa kontrola dostępu w API połączeń częściowych w Devolutions Server 2026.3.5.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt, tworzenie, modyfikowanie i usuwanie wpisów System Vault poprzez spreparowane żądanie API.
- CVE-2026-100288Wysokie
Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.
- CVE-2026-13327Wysokie
Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
Improper access control in the entry activity log feature in Devolutions Server allows an authenticated user with access to an entry but without the required permission to retrieve that entry's activity logs via a crafted API request. This issue affects : * Devolutions Server 2026.1.6.0 through 2026.1.16.0 * Devolutions Server 2025.3.20.0 and earlier
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS