CVE-2026-9251
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych ma brak autoryzacji w funkcji zarządzania statusem wpisów. Uwierzytelniony użytkownik niebędący administratorem może ominąć wymagany przez administratora przepływ zatwierdzania i uzyskać dostęp do danych wpisu poprzez spreparowane żądanie zmiany statusu.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do poufnych danych wpisów przez użytkowników o niskich uprawnieniach, co może prowadzić do wycieku informacji.
Rekomendacja
Zaleca się aktualizację Devolutions Server do wersji nowszej niż 2026.1.16.0 lub zastosowanie poprawek bezpieczeństwa.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-9226Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie zewnętrznego logowania Azure AD. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego tokenu sesji logowania ujawnionego w adresie URL przekierowania.
- CVE-2026-105488Wysokie
Brak autoryzacji w globalnym sejfie w Devolutions Server 2026.3.7.0 i wcześniejszych wersjach pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tylko do podglądu globalnego sejfu na modyfikowanie i usuwanie globalnych wpisów kontaktów oraz folderów.
- CVE-2026-105485Średnie
W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie autoryzacji urządzenia OAuth. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego linku weryfikacji urządzenia przez uwierzytelnioną ofiarę.
- CVE-2026-93332Średnie
Niewłaściwa kontrola dostępu w API połączeń częściowych w Devolutions Server 2026.3.5.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt, tworzenie, modyfikowanie i usuwanie wpisów System Vault poprzez spreparowane żądanie API.
- CVE-2026-100288Wysokie
Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.
- CVE-2026-13327Wysokie
Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.
Oryginalny opis (angielski, źródło NVD)
Missing authorization in the entry status management feature in Devolutions Server allows a non-administrator authenticated user to bypass the administrator-enforced Pending Approval flow and gain access to an entry's data via a crafted status change request. This issue affects : * Devolutions Server 2026.1.6.0 through 2026.1.16.0 * Devolutions Server 2025.3.20.0 and earlier
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS