Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2022-0006
Flere sårbarheder er rettet i Devolutions Server 2022.2.
Berørte produkter
Ændringslog
Første offentliggørelse - 2022-07-05
HTML-injektion i titlen på den sikre besked
Lav - CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
Det var muligt at injicere visse HTML-tags i titlen på sikre beskeder. Udførelse af JavaScript-kode via denne injektion er ikke mulig på grund af den rensning, som Angular-frameworket foretager. En angriber med adgang til Devolutions Server kunne bruge den til at ændre sidens gengivelse eller omdirigere en bruger til et andet websted.
CVE(s)
CVE-2022-2316
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2022.2
Forkert håndtering af tilladelser ved oprettelse af en bruger med et brugernavn, der allerede findes
Høj - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L
Når en bruger blev slettet, blev tilladelsestildelingerne liggende i databasen. Hvis der blev oprettet en ny bruger med det samme brugernavn, fik denne bruger den tidligere brugers tilladelser.
Fra og med Devolutions Server 2022.2 tildeles tilladelser ud fra brugerens entydige id i stedet for brugernavnet.
CVE(s)
CVE-2022-33996
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2022.2