Sécurité et conformité
Nous respectons les normes les plus élevées pour protéger vos données et garantir la confiance.
DEVO-2026-0036
Devolutions Server est affecté par de multiples vulnérabilités.
Produits affectés
Journal des modifications
Publication initiale - 2026-10-15
Une autorisation incorrecte expose les mots de passe des extensions
7.1 High - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Une autorisation incorrecte dans les propriétés des extensions de Devolutions Server 2026.3.8.0 et versions antérieures permet à un utilisateur authentifié qui ne dispose que de la permission d'affichage d'obtenir les mots de passe des extensions au moyen des propriétés des extensions non masquées renvoyées dans les données de connexion.
CVE(s)
CVE-2026-110806
Mesures correctives et solutions de contournement
Mettez à niveau vers Devolutions Server 2026.3.10 ou une version ultérieure, 2026.2.20.0 ou une version ultérieure.
Modification incorrectement contrôlée des paramètres d'élévation juste-à-temps dans la réservation PAM
6.4 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:H/SA:L
Une modification incorrectement contrôlée des paramètres d'élévation juste-à-temps dans la réservation PAM de Devolutions Server 2026.3.8.0 et versions antérieures permet à un utilisateur authentifié disposant d'un accès à la réservation PAM de supprimer des groupes Active Directory arbitraires ou de conserver des privilèges élevés au moyen de paramètres d'élévation juste-à-temps fournis par le client dans une requête de mise à jour de réservation.
CVE(s)
CVE-2026-110804
Mesures correctives et solutions de contournement
Mettez à niveau vers Devolutions Server 2026.3.10 ou une version ultérieure, 2026.2.20.0 ou une version ultérieure.
Contrôle d'accès inadéquat sur le mot de passe du contact d'actif
5.3 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Un contrôle d'accès inadéquat sur le mot de passe du contact d'actif de Devolutions Server 2026.3.8.0 et versions antérieures permet à un utilisateur authentifié disposant de la permission générale de modification, mais sans la permission de modification de l'actif, de modifier le mot de passe du contact d'actif au moyen d'une requête directe spécialement conçue vers le point de terminaison partial-save.
CVE(s)
CVE-2026-110287
Mesures correctives et solutions de contournement
Mettez à niveau vers Devolutions Server 2026.3.10 ou une version ultérieure, 2026.2.20.0 ou une version ultérieure.
Falsification de requêtes côté serveur dans le point de terminaison des groupes PingOne
2.6 Low - CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
Une falsification de requêtes côté serveur dans le point de terminaison des groupes PingOne de Devolutions Server 2026.3.8.0 et versions antérieures permet à un utilisateur authentifié peu privilégié d'exfiltrer le secret d'application PingOne stocké au moyen d'une configuration PingOne contrôlée par l'attaquant dans le paramètre de la requête.
CVE(s)
CVE-2026-110805
Mesures correctives et solutions de contournement
Mettez à niveau vers Devolutions Server 2026.3.10 ou une version ultérieure, 2026.2.20.0 ou une version ultérieure.
Crédits
d3vilx000r