Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
DEVO-2026-0036
Devolutions Server er berørt af flere sårbarheder.
Berørte produkter
Ændringslog
Første offentliggørelse - 2026-10-15
Forkert autorisation eksponerer adgangskoder til tilføjelsesprogrammer
7.1 Høj - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Forkert autorisation i egenskaberne for tilføjelsesprogrammer i Devolutions Server 2026.3.8.0 og tidligere gør det muligt for en godkendt bruger, der kun har visningstilladelse, at hente adgangskoder til tilføjelsesprogrammer via de uredigerede egenskaber, der returneres i forbindelsesdataene.
CVE(s)
CVE-2026-110806
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.10 eller nyere, 2026.2.20.0 eller nyere.
Utilstrækkeligt kontrolleret ændring af indstillinger for Just-in-time elevation ved PAM-checkout
6.4 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:H/SA:L
En utilstrækkeligt kontrolleret ændring af indstillinger for Just-in-time elevation ved PAM-checkout i Devolutions Server 2026.3.8.0 og tidligere gør det muligt for en godkendt bruger med adgang til PAM-checkout at slette vilkårlige Active Directory-grupper eller beholde udvidede rettigheder via klientleverede indstillinger for Just-in-time elevation i en opdateringsanmodning til checkout.
CVE(s)
CVE-2026-110804
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.10 eller nyere, 2026.2.20.0 eller nyere.
Utilstrækkelig adgangskontrol for adgangskoden til aktivets kontakt
5.3 Mellem - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Utilstrækkelig adgangskontrol for adgangskoden til aktivets kontakt i Devolutions Server 2026.3.8.0 og tidligere gør det muligt for en godkendt bruger med generel redigeringstilladelse, men uden tilladelse til at redigere aktivet, at ændre adgangskoden til aktivets kontakt via en manipuleret direkte anmodning til partial-save-endpointet.
CVE(s)
CVE-2026-110287
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.10 eller nyere, 2026.2.20.0 eller nyere.
Forfalskning af anmodninger på serversiden i endpointet for PingOne-grupper
2.6 Lav - CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
Forfalskning af anmodninger på serversiden i endpointet for PingOne-grupper i Devolutions Server 2026.3.8.0 og tidligere gør det muligt for en godkendt bruger med lave rettigheder at eksfiltrere den gemte PingOne-applikationshemmelighed via en angriberstyret PingOne-konfiguration i anmodningsparameteren.
CVE(s)
CVE-2026-110805
Afhjælpning og alternative løsninger
Opdater til Devolutions Server 2026.3.10 eller nyere, 2026.2.20.0 eller nyere.
Anerkendelser
d3vilx000r