Sicurezza & conformità
Manteniamo i più elevati standard per proteggere i suoi dati e garantire la fiducia.
DEVO-2025-0018
Devolutions Server è interessato da più vulnerabilità.
Prodotti interessati
Registro delle modifiche
27-11-2025 - Pubblicazione iniziale 04-03-2026 - Aggiornata la versione correttiva da 2025.3.9 a 2025.3.10
Iniezione SQL nei log di ultimo utilizzo
9.4 Critica - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Un'iniezione SQL tramite il parametro DateSortField nei log di ultimo utilizzo consente agli utenti autenticati di esfiltrare o modificare dati.
CVE(s)
CVE-2025-13757
Correzione e soluzioni alternative
Riconoscimenti
JaGoTu, DCIT a.s.
Credenziali incluse nelle richieste di connessione parziali
Media 5.1 - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Le voci in DVLS vengono richieste tramite due richieste separate: la prima richiesta contiene le informazioni generali da visualizzare, come il nome, il nome utente, la data di creazione, ecc. Le credenziali, come le password, vengono recuperate tramite una richiesta /sensitive-data quando l'utente accede alla credenziale. Alcuni tipi di voce includevano impropriamente le password nella prima richiesta.
CVE(s)
CVE-2025-13758
Correzione e soluzioni alternative
Riconoscimenti
JaGoTu, DCIT a.s.
Controllo degli accessi improprio nel componente del servizio e-mail
4.9 Media - CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:H/SA:N
L'API di configurazione del servizio e-mail restituiva le password del servizio e-mail agli utenti privi di diritti amministrativi quando erano configurati più servizi e-mail.
CVE(s)
CVE-2025-13765
Correzione e soluzioni alternative
Aggiornare a Devolutions Server 2025.2.21 o versione successiva; 2025.3.10 o versione successiva