Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0030
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-09-15
Utilstrækkelig certifikatvalidering i LDAPS-forbindelser til Active Directory
8.3 Høj - CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Utilstrækkelig certifikatvalidering i LDAPS-forbindelser til Active Directory gør det muligt for en angriber, der er placeret på netværket, at opfange privilegerede legitimationsoplysninger til katalogtjenesten ved hjælp af et forfalsket domænecontrollercertifikat.
CVE(s)
CVE-2026-13327
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.5.0 eller nyere.
Anerkendelser
wlayzz
Utilstrækkelig adgangskontrol i visningen af poster i boksen afslører adgangskoder
6.5 Mellem - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Utilstrækkelig adgangskontrol i funktionen til visning af poster i boksen gør det muligt for en godkendt bruger, der mangler tilladelsen til at se adgangskoder, at få adgangskoder i klartekst via en anmodning til endpointet for visning af poster med parametre til afsløring af adgangskoder.
CVE(s)
CVE-2026-90969
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.5.0 eller nyere, eller 2026.2.17 eller nyere.
Anerkendelser
dorjoo
Server-side request forgery and credential leak via VMware connection sync endpoint
6.5 Mellem - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Server-Side Request Forgery (SSRF) in the VMware synchronization feature allows a low-privileged authenticated user to obtain other users' credentials and reach internal or cloud-metadata network endpoints via a crafted connection definition submitted for datacenter discovery.
CVE(s)
CVE-2026-90971
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.5.0 eller nyere.
Anerkendelser
dorjoo
Utilstrækkelig certifikatvalidering i HTTP-klienterne i Devolutions Server
6.3 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Utilstrækkelig certifikatvalidering i den delte HTTP-klient, som synkroniserings- og integrationsfunktionerne bruger, gør det muligt for en angriber, der er placeret på netværket, at opfange og manipulere udgående TLS-forbindelser ved hjælp af et forfalsket eller selvsigneret certifikat.
CVE(s)
CVE-2026-84850
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.5.0 eller nyere.