CVE-2026-15641
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami zatwierdzenie własnego oczekującego żądania dostępu poprzez bezpośrednie wywołanie endpointu statusu żądania, z pominięciem wymaganego przeglądu przez osobę zatwierdzającą.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane przyznanie dostępu do zasobów, co może prowadzić do naruszenia poufności i integralności danych oraz eskalacji uprawnień przez nieuprawnionych użytkowników.
Rekomendacja
Należy niezwłocznie zaktualizować Devolutions Server do wersji zawierającej poprawkę oraz przejrzeć i cofnąć wszelkie nieautoryzowane zatwierdzenia żądań dostępu.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-114487Średnie
W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.
- CVE-2026-114486Średnie
W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje nieprawidłowa autoryzacja przy generowaniu tokenów Devolutions Gateway. Uwierzytelniony atakujący bez uprawnień administracyjnych może ominąć reguły dostępu sieciowego wirtualnego gatewaya i dotrzeć do zabronionych hostów poprzez dodatkowe miejsca docelowe z symbolami wieloznacznymi podpisane w tokenie gatewaya.
- CVE-2026-114485Średnie
W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje niewystarczająca ochrona informacji wrażliwych w punkcie końcowym listy użytkowników. Uwierzytelniony atakujący z delegowanymi uprawnieniami do przeglądania użytkowników może uzyskać sekrety MFA wszystkich użytkowników poprzez odpowiedź API listy użytkowników.
- CVE-2026-110806Średnie
Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.
- CVE-2026-110805Niskie
Podatność typu server-side request forgery w punkcie końcowym grup PingOne w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na eksfiltrację przechowywanego sekretu aplikacji PingOne poprzez kontrolowaną przez atakującego konfigurację PingOne w parametrze żądania.
- CVE-2026-110804Średnie
Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.
Oryginalny opis (angielski, źródło NVD)
Improper authorization in the access request status endpoint in Devolutions Server 2026.2.11, 2026.1.22 allows an authenticated low-privileged user to approve their own pending access request via a direct call to the request status endpoint, bypassing the required approver review.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS