Seguridad & cumplimiento normativo
Mantenemos los estándares más exigentes para proteger sus datos y garantizar la confianza.
DEVO-2026-0036
Devolutions Server se ve afectado por múltiples vulnerabilidades.
Productos afectados
Registro de cambios
Publicación inicial - 2026-10-15
Una autorización incorrecta expone las contraseñas de los complementos
7.1 High - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Una autorización incorrecta en las propiedades de los complementos de Devolutions Server 2026.3.8.0 y anteriores permite a un usuario autenticado que solo tiene el permiso de visualización obtener las contraseñas de los complementos mediante las propiedades de los complementos sin enmascarar devueltas en los datos de conexión.
CVE(s)
CVE-2026-110806
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.10 o superior, 2026.2.20.0 o superior.
Modificación indebidamente controlada de la configuración de Just-in-time elevation en el checkout de PAM
6.4 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:H/SA:L
Una modificación indebidamente controlada de la configuración de Just-in-time elevation en el checkout de PAM de Devolutions Server 2026.3.8.0 y anteriores permite a un usuario autenticado con acceso al checkout de PAM eliminar grupos arbitrarios de Active Directory o conservar privilegios elevados mediante una configuración de Just-in-time elevation suministrada por el cliente en una solicitud de actualización del checkout.
CVE(s)
CVE-2026-110804
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.10 o superior, 2026.2.20.0 o superior.
Control de acceso inadecuado en la contraseña del contacto del activo
5.3 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Un control de acceso inadecuado en la contraseña del contacto del activo de Devolutions Server 2026.3.8.0 y anteriores permite a un usuario autenticado con permiso general de edición, pero sin permiso de edición del activo, modificar la contraseña del contacto del activo mediante una solicitud directa manipulada al endpoint partial-save.
CVE(s)
CVE-2026-110287
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.10 o superior, 2026.2.20.0 o superior.
Falsificación de solicitudes del lado del servidor en el endpoint de grupos de PingOne
2.6 Low - CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
Una falsificación de solicitudes del lado del servidor en el endpoint de grupos de PingOne de Devolutions Server 2026.3.8.0 y anteriores permite a un usuario autenticado con privilegios bajos exfiltrar el secreto de aplicación de PingOne almacenado mediante una configuración de PingOne controlada por el atacante en el parámetro de la solicitud.
CVE(s)
CVE-2026-110805
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.10 o superior, 2026.2.20.0 o superior.
Créditos
d3vilx000r