Sicurezza & conformità

Il controllo improprio della generazione di codice ('Code Injection') nella funzionalità delle variabili di Devolutions PowerShell Universal 2026.2.2 e versioni precedenti consente a un utente autenticato con autorizzazione di scrittura sulle variabili di eseguire codice PowerShell arbitrario tramite un valore di variabile appositamente creato che non viene correttamente sottoposto a escape durante la scrittura nel file di configurazione delle variabili.

Il controllo improprio della generazione di codice ('Code Injection') nella funzionalità di pianificazione di Devolutions PowerShell Universal 2026.2.2 e versioni precedenti consente a un utente autenticato con autorizzazione di creazione delle pianificazioni di eseguire codice PowerShell arbitrario tramite nomi di parametri di pianificazione appositamente creati e concatenati in un'invocazione di script.

L'archiviazione in chiaro di informazioni sensibili nella funzionalità delle variabili di Devolutions PowerShell Universal 2026.2.2 e versioni precedenti consente a un attore locale con accesso al file system di leggere valori segreti tramite variabili segrete memorizzate in chiaro su disco quando non è selezionata alcuna cassaforte.

L'inserimento di informazioni sensibili nei dati inviati nell'API dei job di automazione di Devolutions PowerShell Universal 2026.2.2 e versioni precedenti consente a un utente autenticato con autorizzazione di lettura limitata su job o script di ottenere il token di aggiornamento OAuth memorizzato di un altro utente tramite risposte di lettura dei job che non rimuovono il refresh token.

Il controllo degli accessi improprio nelle funzionalità di test di automazione e workflow di Devolutions PowerShell Universal 2026.2.2 e versioni precedenti consente a un utente autenticato con il solo ruolo Reader di eseguire test di automazione e modificare le proprietà dei workflow a causa dell'assenza di controlli di autorizzazione lato server.