Podatności Devolutions PowerShell Universal

W Devolutions PowerShell Universal w wersji 2026.2.5 i wcześniejszych funkcja rejestrowania wolnych zapytań (slow query logging) zapisuje do dziennika systemowego wartości parametrów SQL, w tym dane wrażliwe. Uwierzytelniony użytkownik z uprawnieniem do odczytu logów może w ten sposób uzyskać tokeny aplikacji, materiał klucza ochrony danych oraz inne przechowywane poświadczenia na instancjach korzystających z Microsoft SQL Server.

W Devolutions PowerShell Universal w wersji 2026.2.3 i wcześniejszych wykryto podatność polegającą na niewłaściwej kontroli generowania kodu (Code Injection) w funkcji ustawień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania ustawieniami może wykonać dowolny kod PowerShell poprzez spreparowaną wartość ustawienia, która nie jest poprawnie escapowana podczas zapisu do pliku konfiguracyjnego.

W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych przechowuje tajne wartości w postaci jawnego tekstu na dysku, gdy nie wybrano magazynu (vault). Lokalny atakujący z dostępem do systemu plików może odczytać te sekrety.

W Devolutions PowerShell Universal w wersji 2026.2.2 i wcześniejszych, funkcja zmiennych nieprawidłowo kontroluje generowanie kodu (wstrzykiwanie kodu). Uwierzytelniony użytkownik z uprawnieniami do zapisu zmiennych może wykonać dowolny kod PowerShell poprzez spreparowaną wartość zmiennej, która nie jest odpowiednio escapowana przy zapisie do pliku konfiguracyjnego.

Podatność na wstrzykiwanie kodu w funkcji harmonogramu w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do tworzenia harmonogramów może wykonać dowolny kod PowerShell poprzez spreparowane nazwy parametrów harmonogramu.

Brak kontroli dostępu w funkcjach testów automatyzacji i przepływów pracy w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z rolą Czytelnika może wykonywać testy automatyzacji i modyfikować właściwości przepływów pracy z powodu braku autoryzacji po stronie serwera.

Wyciek wrażliwych informacji w API zadań automatyzacji w Devolutions PowerShell Universal 2026.2.2 i wcześniejszych. Uwierzytelniony użytkownik z uprawnieniami do odczytu zadań lub skryptów może uzyskać token odświeżania OAuth innego użytkownika poprzez odpowiedzi API, które nie usuwają tego tokena.

W Devolutions PowerShell Universal 2026.2.0 wykryto podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych w API zadań AI Agenta. Uwierzytelniony użytkownik z dostępem do odczytu AI Agenta może uzyskać wielokrotnego użytku tokeny uwierzytelniające o potencjalnie wyższych uprawnieniach, które są serializowane w postaci jawnego tekstu w odpowiedziach API zadań.

W Devolutions PowerShell Universal w wersji 2026.1.7 i wcześniejszych występuje niewłaściwa kontrola dostępu, która pozwala nieautoryzowanemu zdalnemu atakującemu na uzyskanie specyfikacji OpenAPI zdefiniowanych przez użytkownika punktów końcowych REST.