Seguridad & cumplimiento normativo
Mantenemos los estándares más exigentes para proteger sus datos y garantizar la confianza.
DEVO-2025-0018
Devolutions Server se ve afectado por múltiples vulnerabilidades.
Productos afectados
Registro de cambios
27-11-2025 - Publicación inicial 04-03-2026 - Versión de corrección actualizada de 2025.3.9 a 2025.3.10
Inyección SQL en los registros de último uso
9.4 Crítica - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Una inyección SQL a través del parámetro DateSortField en los registros de último uso permite a los usuarios autenticados exfiltrar o modificar datos.
CVE(s)
CVE-2025-13757
Corrección y soluciones alternativas
Créditos
JaGoTu, DCIT a.s.
Credenciales incluidas en peticiones parciales de conexión
Media 5.1 - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Las entradas en DVLS se solicitan en dos peticiones separadas: la primera petición contiene información general que se va a mostrar, como el nombre, el nombre de usuario, la fecha de creación, etc. Las credenciales, como las contraseñas, se obtienen mediante una petición /sensitive-data cuando el usuario accede a la credencial. Algunos tipos de entrada incluían indebidamente las contraseñas en la primera petición.
CVE(s)
CVE-2025-13758
Corrección y soluciones alternativas
Créditos
JaGoTu, DCIT a.s.
Control de acceso inadecuado en el componente del servicio de correo electrónico
4.9 Media - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:H/SA:N
La API de configuración del servicio de correo electrónico devolvía las contraseñas del servicio de correo electrónico a usuarios sin derechos administrativos cuando había varios servicios de correo electrónico configurados.
CVE(s)
CVE-2025-13765
Corrección y soluciones alternativas
Actualice a Devolutions Server 2025.2.21 o superior; 2025.3.10 o superior