CVE-2026-15642
NiskieCVSS 3.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W Devolutions Server 2026.1.22.0 i 2026.2.11.0 w funkcji generowania pliku odpowiedzi Recovery Kit następuje wstawienie poufnych informacji do pliku. Umożliwia to atakującemu z dostępem do wygenerowanego pliku odczytanie sekretu klienta Azure Key Vault w postaci jawnego tekstu, nawet gdy wybrano opcję wykluczenia poufnych danych.
Ocena ryzyka
Organizacja naraża się na wyciek sekretu klienta Azure Key Vault, co może prowadzić do nieautoryzowanego dostępu do zarządzanych tajemnic i zasobów w chmurze Azure.
Rekomendacja
Należy natychmiast zaktualizować Devolutions Server do wersji zawierającej poprawkę oraz ponownie wygenerować pliki odpowiedzi Recovery Kit, upewniając się, że nie zawierają one poufnych danych.
Oryginalny opis (angielski, źródło NVD)
Insertion of sensitive information into a file in the Recovery Kit response file generation feature in Devolutions Server 2026.1.22.0, 2026.2.11.0 allows an attacker with access to the generated response file to obtain the Azure Key Vault client secret in cleartext, even when the option to exclude sensitive data is selected.