Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2025-0018
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
27-11-2025 - Første offentliggørelse 04-03-2026 - Rettelsesversion opdateret fra 2025.3.9 til 2025.3.10
SQL-injektion i loggene over seneste brug
9.4 Kritisk - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
En SQL-injektion via parameteren DateSortField i loggene over seneste brug gør det muligt for godkendte brugere at eksfiltrere eller ændre data.
CVE(s)
CVE-2025-13757
Afhjælpning og alternative løsninger
Anerkendelser
JaGoTu, DCIT a.s.
Legitimationsoplysninger inkluderet i delvise forbindelsesanmodninger
Mellem 5.1 - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Poster i DVLS hentes i to separate anmodninger: Den første anmodning indeholder generelle oplysninger, der skal vises, såsom navn, brugernavn, oprettelsesdato osv. Legitimationsoplysninger, såsom adgangskoder, hentes via en /sensitive-data-anmodning, når brugeren tilgår legitimationsoplysningen. Nogle posttyper indeholdt uretmæssigt adgangskoderne i den første anmodning.
CVE(s)
CVE-2025-13758
Afhjælpning og alternative løsninger
Anerkendelser
JaGoTu, DCIT a.s.
Utilstrækkelig adgangskontrol i komponenten til e-mailtjenesten
4.9 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:H/SA:N
API'en til konfiguration af e-mailtjenesten returnerede e-mailtjenestens adgangskoder til brugere uden administratorrettigheder, når flere e-mailtjenester var konfigureret.
CVE(s)
CVE-2025-13765
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2025.2.21 eller nyere; 2025.3.10 eller nyere