Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0035
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-10-06
Kontoovertagelse via et genafspilleligt Azure AD-logonsessionstoken
7.6 Høj - CVSS:4.0/AV:A/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
En omgåelse af godkendelsen i det eksterne Azure AD-logonflow i Devolutions Server 2026.3.7.0 og tidligere gør det muligt for en fjernangriber at overtage en brugers konto ved at genafspille et opfanget logonsessionstoken, der er eksponeret i en omdirigerings-URL.
CVE(s)
CVE-2026-9226
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.8.0 eller nyere, eller til 2026.2.19.0 eller nyere.
Kontoovertagelse via forfalskning af anmodninger på tværs af websteder i enhedsgodkendelsen
7.4 Høj - CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
En omgåelse af godkendelsen i OAuth-enhedsgodkendelsesflowet i Devolutions Server 2026.3.7.0 og tidligere gør det muligt for en fjernangriber at overtage en brugers konto, når et godkendt offer genafspiller et opfanget link til enhedsverifikation.
CVE(s)
CVE-2026-105485
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.8.0 eller nyere, eller til 2026.2.19.0 eller nyere.
Manglende autorisation for kontakter og mapper i den globale boks
6.0 Mellem - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
Manglende autorisation i den globale boks i Devolutions Server 2026.3.7.0 og tidligere gør det muligt for en godkendt bruger, der kun har tilladelsen til at se den globale boks, at ændre og slette globale kontakter og mapper.
CVE(s)
CVE-2026-105488
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.8.0 eller nyere, eller til 2026.2.19.0 eller nyere.