Sikkerhed og overholdelse

Den utilstrækkelige kontrol af kodegenerering („kodeinjektion“) i variabelfunktionen i Devolutions PowerShell Universal 2026.2.2 og tidligere versioner gør det muligt for en godkendt bruger med skriverettighed til variabler at køre vilkårlig PowerShell-kode via en manipuleret variabelværdi, der ikke escapes korrekt, når den skrives til variablernes konfigurationsfil.

Den utilstrækkelige kontrol af kodegenerering („kodeinjektion“) i tidsplanfunktionen i Devolutions PowerShell Universal 2026.2.2 og tidligere versioner gør det muligt for en godkendt bruger med tilladelse til at oprette tidsplaner at køre vilkårlig PowerShell-kode via manipulerede parameternavne til tidsplaner, der sættes sammen i et scriptkald.

Klartekstlagring af følsomme oplysninger i variabelfunktionen i Devolutions PowerShell Universal 2026.2.2 og tidligere versioner gør det muligt for en lokal aktør med adgang til filsystemet at læse hemmelige værdier via hemmelige variabler, der er gemt i klartekst på disken, når der ikke er valgt nogen boks.

Indsættelse af følsomme oplysninger i de data, der sendes af automatiseringsjob-API'et i Devolutions PowerShell Universal 2026.2.2 og tidligere versioner, gør det muligt for en godkendt bruger med læserettighed begrænset til jobs eller scripts at få en anden brugers gemte OAuth-opdateringstoken via læsesvar for jobs, der ikke fjerner opdateringstokenet.

Den utilstrækkelige adgangskontrol i funktionerne til automatiseringstests og arbejdsgange i Devolutions PowerShell Universal 2026.2.2 og tidligere versioner gør det muligt for en godkendt bruger, der kun har læserrollen, at køre automatiseringstests og ændre egenskaber for arbejdsgange, fordi der mangler autorisationskontroller på serveren.