CVE-2026-90971

Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.

Nieprawidłowa kontrola dostępu w funkcji listowania wpisów sejfu w Devolutions Server 2026.2.16 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi bez uprawnienia view-password na uzyskanie haseł w postaci jawnej poprzez żądanie do punktu końcowego listowania wpisów z parametrami ujawniania haseł. Podatność narusza poufność przechowywanych poświadczeń.

Nieprawidłowa walidacja certyfikatów we wspólnym kliencie HTTP używanym przez funkcje synchronizacji i integracji w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu w sieci na przechwycenie i modyfikację wychodzących połączeń TLS za pomocą sfałszowanego lub samopodpisanego certyfikatu.

W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.

Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi niebędącemu administratorem, posiadającemu uprawnienia do zarządzania członkostwem w grupach użytkowników, eskalację uprawnień do administratora poprzez spreparowane żądanie API. Problem dotyczy wersji od 2026.2.4.0 do 2026.2.12.0 oraz 2026.1.23.0 i wcześniejszych.

W Devolutions Server 2026.1.22.0 i 2026.2.11.0 w funkcji generowania pliku odpowiedzi Recovery Kit następuje wstawienie poufnych informacji do pliku. Umożliwia to atakującemu z dostępem do wygenerowanego pliku odczytanie sekretu klienta Azure Key Vault w postaci jawnego tekstu, nawet gdy wybrano opcję wykluczenia poufnych danych.

Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami zatwierdzenie własnego oczekującego żądania dostępu poprzez bezpośrednie wywołanie endpointu statusu żądania, z pominięciem wymaganego przeglądu przez osobę zatwierdzającą.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami ujawnienie klucza prywatnego SSH lub certyfikatu PAM poprzez bezpośrednie odwołanie do identyfikatora poświadczenia. Problem dotyczy punktów końcowych pobierania kluczy SSH i certyfikatów PAM.

Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi usunięcie wiadomości innego użytkownika poprzez bezpośrednie odwołanie do identyfikatora wiadomości w punkcie końcowym usuwania bezpiecznych wiadomości. Problem wynika z nieprawidłowej autoryzacji.