Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0034
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-09-29
Klartekstlagring af godkendelses- og sessionstokens
6.9 Mellem - CVSS:4.0/AV:L/AC:H/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N
Klartekstlagring af følsomme oplysninger i databasen i Devolutions Server gør det muligt for en angriber med læseadgang til databasen at få tokens fra eksterne identitetsudbydere og aktive sessionsidentifikatorer ved direkte inspektion af de lagrede poster.
CVE(s)
CVE-2026-100288
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.18.0 eller 2026.3.7.0 eller nyere.
Manglende autorisation i endpointet til integrationskonfiguration
6.5 Mellem - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Manglende autorisation i API'et til konfiguration af datakilder i Devolutions Server gør det muligt for en godkendt bruger uden administratorrettigheder at afsløre integrationshemmeligheder via en manipuleret API-anmodning.
CVE(s)
CVE-2026-100286
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.18.0 eller 2026.3.7.0 eller nyere.
Anerkendelser
dorjoo
Utilstrækkelig adgangskontrol i endpoints til delvis forbindelse for systemboksen
5.4 Mellem - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Utilstrækkelig adgangskontrol i API'et til delvis forbindelse i Devolutions Server gør det muligt for en godkendt bruger med lave privilegier at læse, oprette, ændre og slette poster i systemboksen via en manipuleret API-anmodning.
CVE(s)
CVE-2026-93332
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.18.0 eller 2026.3.7.0 eller nyere.
Anerkendelser
rizalyeswehack
Manglende autorisation i endpoints til historik for vedhæftede filer
5.4 Mellem - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
Manglende autorisation i API'et til historik for vedhæftede filer i Devolutions Server gør det muligt for en godkendt bruger med lave privilegier permanent at slette eller gendanne boksens vedhæftede filer via en manipuleret API-anmodning.
CVE(s)
CVE-2026-100287
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.18.0 eller 2026.3.7.0 eller nyere.
Anerkendelser
rizalyeswehack
Manglende autorisation i endpointet til gatewayens token til netværksscanning
5 Mellem - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N
Manglende autorisation i API'et til tokens til netværksscanning for gatewayen i Devolutions Server gør det muligt for en godkendt bruger med lave privilegier at generere et token til netværksscanning og udføre opdagelse af det interne netværk og portscanning via gatewayen ved hjælp af en manipuleret API-anmodning.
CVE(s)
CVE-2026-100289
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.18.0 eller 2026.3.7.0 eller nyere.
Anerkendelser
abfe
En forkert adfærdsrækkefølge omgår værtsregelsættet i Devolutions Gateway
2.3 Lav - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N
Forkert håndhævelse af reglerne i PAM-udbyderen til Active Directory i Devolutions Server 2026.3.5 gør det muligt for en bruger med PAM-redigeringstilladelser at omgå værtsregelsættet i Devolutions Gateway.
CVE(s)
CVE-2026-93330
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.2.18.0 eller 2026.3.7.0 eller nyere.