CVE-2026-9047
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Nieprawidłowe zarządzanie stanem klucza czynnika w funkcji zarządzania uwierzytelnianiem wieloskładnikowym w Devolutions Server umożliwia atakującemu znającemu hasło użytkownika ominięcie uwierzytelniania wieloskładnikowego po rekonfiguracji czynników przez użytkownika.
Ocena ryzyka
Atakujący może ominąć MFA i uzyskać nieautoryzowany dostęp do kont użytkowników, co prowadzi do naruszenia bezpieczeństwa danych.
Rekomendacja
Zaktualizuj Devolutions Server do wersji nowszej niż 2026.1.16.0.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-9226Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie zewnętrznego logowania Azure AD. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego tokenu sesji logowania ujawnionego w adresie URL przekierowania.
- CVE-2026-105488Wysokie
Brak autoryzacji w globalnym sejfie w Devolutions Server 2026.3.7.0 i wcześniejszych wersjach pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tylko do podglądu globalnego sejfu na modyfikowanie i usuwanie globalnych wpisów kontaktów oraz folderów.
- CVE-2026-105485Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie autoryzacji urządzenia OAuth. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego linku weryfikacji urządzenia przez uwierzytelnioną ofiarę.
- CVE-2026-93332Średnie
Niewłaściwa kontrola dostępu w API połączeń częściowych w Devolutions Server 2026.3.5.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt, tworzenie, modyfikowanie i usuwanie wpisów System Vault poprzez spreparowane żądanie API.
- CVE-2026-100288Wysokie
Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.
- CVE-2026-13327Wysokie
Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
Improper handling of factor key state in the multi-factor authentication management feature in Devolutions Server allows an attacker with knowledge of a user's password to bypass the user's multi-factor authentication after the user reconfigures their factors. This issue affects : * Devolutions Server 2026.1.6.0 through 2026.1.16.0
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS