Seguridad & cumplimiento normativo
Mantenemos los estándares más exigentes para proteger sus datos y garantizar la confianza.
DEVO-2026-0037
Devolutions Server se ve afectado por múltiples vulnerabilidades.
Productos afectados
Registro de cambios
Publicación inicial - 2026-10-22
Falta de autorización en la importación de ordenadores AD de PAM
5.3 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
La falta de autorización en el endpoint de importación de ordenadores AD de PAM de Devolutions Server 2026.3.5.0 a 2026.3.10.0 y de Devolutions Server 2026.2.20.0 y anteriores permite a un usuario autenticado sin privilegios de administrador y con una licencia de PAM crear subproveedores de PAM bajo proveedores de AD existentes mediante una solicitud de importación manipulada.
CVE(s)
CVE-2026-114487
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.11.0 o superior, Devolutions Server 2026.2.21.0 o superior.
Una autorización incorrecta de los destinos del token del gateway omite las reglas de acceso a la red del gateway virtual
4.3 Medium - CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Una autorización incorrecta en la generación de tokens de Devolutions Gateway en Devolutions Server 2026.3.5.0 a 2026.3.10.0 y en Devolutions Server 2026.2.20.0 y anteriores permite a un atacante autenticado sin privilegios de administrador omitir las reglas de acceso a la red de un gateway virtual y alcanzar hosts denegados mediante destinos adicionales con comodines firmados en el token del gateway.
CVE(s)
CVE-2026-114486
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.11.0 o superior, Devolutions Server 2026.2.21.0 o superior.
Créditos
GSN_Ligma
Exposición de secretos de MFA en el endpoint de la lista de usuarios
2.1 Low - CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Una protección insuficiente de la información sensible en el endpoint de la lista de usuarios de Devolutions Server 2026.3.5.0 a 2026.3.10.0 y de Devolutions Server 2026.2.20.0 y anteriores permite a un atacante autenticado con permisos delegados de visualización de usuarios obtener los secretos de MFA de todos los usuarios mediante la respuesta de la API de la lista de usuarios.
CVE(s)
CVE-2026-114485
Corrección y soluciones alternativas
Actualice a Devolutions Server 2026.3.11.0 o superior, Devolutions Server 2026.2.21.0 o superior.