Sicurezza & conformità
Manteniamo i più elevati standard per proteggere i suoi dati e garantire la fiducia.
DEVO-2026-0036
Devolutions Server è interessato da più vulnerabilità.
Prodotti interessati
Registro delle modifiche
Pubblicazione iniziale - 2026-10-15
Autorizzazione errata che espone le password dei componenti aggiuntivi
7.1 High - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Un'autorizzazione errata nelle proprietà dei componenti aggiuntivi di Devolutions Server 2026.3.8.0 e precedenti consente a un utente autenticato che dispone solo dell'autorizzazione di visualizzazione di ottenere le password dei componenti aggiuntivi tramite le proprietà dei componenti aggiuntivi non mascherate restituite nei dati di connessione.
CVE(s)
CVE-2026-110806
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.10 o versione successiva, 2026.2.20.0 o versione successiva.
Modifica controllata in modo improprio delle impostazioni di elevazione just-in-time nel checkout PAM
6.4 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:L/SI:H/SA:L
Una modifica controllata in modo improprio delle impostazioni di elevazione just-in-time nel checkout PAM di Devolutions Server 2026.3.8.0 e precedenti consente a un utente autenticato con accesso al checkout PAM di eliminare gruppi di Active Directory arbitrari o di mantenere privilegi elevati tramite impostazioni di elevazione just-in-time fornite dal client in una richiesta di aggiornamento del checkout.
CVE(s)
CVE-2026-110804
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.10 o versione successiva, 2026.2.20.0 o versione successiva.
Controllo degli accessi improprio sulla password del contatto dell'asset
5.3 Medium - CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Un controllo degli accessi improprio sulla password del contatto dell'asset in Devolutions Server 2026.3.8.0 e precedenti consente a un utente autenticato con autorizzazione generale di modifica, ma senza autorizzazione di modifica dell'asset, di modificare la password del contatto dell'asset tramite una richiesta diretta appositamente creata verso l'endpoint partial-save.
CVE(s)
CVE-2026-110287
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.10 o versione successiva, 2026.2.20.0 o versione successiva.
Falsificazione di richiesta lato server nell'endpoint dei gruppi PingOne
2.6 Low - CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:N/A:N
Una falsificazione di richiesta lato server nell'endpoint dei gruppi PingOne di Devolutions Server 2026.3.8.0 e precedenti consente a un utente autenticato con privilegi ridotti di esfiltrare il segreto dell'applicazione PingOne archiviato tramite una configurazione PingOne controllata dall'utente malintenzionato nel parametro della richiesta.
CVE(s)
CVE-2026-110805
Correzione e soluzioni alternative
Aggiorni a Devolutions Server 2026.3.10 o versione successiva, 2026.2.20.0 o versione successiva.
Riconoscimenti
d3vilx000r