CVE-2026-4829
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Devolutions Server 2026.1.11 i starszych występuje niewłaściwe uwierzytelnianie w zewnętrznym przepływie OAuth, pozwalające uwierzytelnionemu użytkownikowi na uwierzytelnienie się jako inni użytkownicy, w tym administratorzy, poprzez ponowne użycie kodu sesji z zewnętrznego przepływu uwierzytelniania.
Ocena ryzyka
Atakujący może przejąć tożsamość innych użytkowników, w tym administratorów, uzyskując nieautoryzowany dostęp do zasobów.
Rekomendacja
Zaktualizuj Devolutions Server do wersji nowszej niż 2026.1.11. Wdróż jednorazowe kody sesji w przepływie OAuth.
Inne podatności w Devolutions Server
Zobacz wszystkie- CVE-2026-93330Średnie
W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.
- CVE-2026-100289Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.
- CVE-2026-100287Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.
- CVE-2026-100286Średnie
W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.
- CVE-2026-114487Średnie
W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.
- CVE-2026-114486Średnie
W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje nieprawidłowa autoryzacja przy generowaniu tokenów Devolutions Gateway. Uwierzytelniony atakujący bez uprawnień administracyjnych może ominąć reguły dostępu sieciowego wirtualnego gatewaya i dotrzeć do zabronionych hostów poprzez dodatkowe miejsca docelowe z symbolami wieloznacznymi podpisane w tokenie gatewaya.
- CVE-2026-114485Średnie
W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje niewystarczająca ochrona informacji wrażliwych w punkcie końcowym listy użytkowników. Uwierzytelniony atakujący z delegowanymi uprawnieniami do przeglądania użytkowników może uzyskać sekrety MFA wszystkich użytkowników poprzez odpowiedź API listy użytkowników.
- CVE-2026-110806Średnie
Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.
- CVE-2026-110805Niskie
Podatność typu server-side request forgery w punkcie końcowym grup PingOne w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na eksfiltrację przechowywanego sekretu aplikacji PingOne poprzez kontrolowaną przez atakującego konfigurację PingOne w parametrze żądania.
- CVE-2026-110804Średnie
Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.
Oryginalny opis (angielski, źródło NVD)
Improper authentication in the external OAuth authentication flow in Devolutions Server 2026.1.11 and earlier allows an authenticated user to authenticate as other users, including administrators, via reuse of a session code from an external authentication flow.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS