Seguridad & cumplimiento normativo

El control inadecuado de la generación de código («inyección de código») en la función de variables de Devolutions PowerShell Universal 2026.2.2 y versiones anteriores permite que un usuario autenticado con permiso de escritura en variables ejecute código PowerShell arbitrario mediante un valor de variable manipulado que no se escapa correctamente al escribirse en el fichero de configuración de variables.

El control inadecuado de la generación de código («inyección de código») en la función de programación de Devolutions PowerShell Universal 2026.2.2 y versiones anteriores permite que un usuario autenticado con permiso para crear programaciones ejecute código PowerShell arbitrario mediante nombres de parámetros de programación manipulados que se concatenan en una invocación de script.

El almacenamiento en texto claro de información sensible en la función de variables de Devolutions PowerShell Universal 2026.2.2 y versiones anteriores permite que un actor local con acceso al sistema de ficheros lea valores secretos a través de variables secretas almacenadas en texto claro en el disco cuando no se ha seleccionado ninguna bóveda.

La inserción de información sensible en los datos enviados por la API de trabajos de automatización de Devolutions PowerShell Universal 2026.2.2 y versiones anteriores permite que un usuario autenticado con permiso de lectura limitado a trabajos o scripts obtenga el token de actualización de OAuth almacenado de otro usuario a través de respuestas de lectura de trabajos que no eliminan el token de actualización.

El control de acceso inadecuado en las funciones de pruebas de automatización y flujos de trabajo de Devolutions PowerShell Universal 2026.2.2 y versiones anteriores permite que un usuario autenticado que solo tiene el rol de lector ejecute pruebas de automatización y modifique propiedades de flujos de trabajo debido a la ausencia de comprobaciones de autorización en el servidor.