CVE-2026-8477
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Devolutions Server wykryto problem z egzekwowaniem przepływu pracy dla zapieczętowanych wpisów w funkcji pobierania wrażliwych danych. Uwierzytelniony użytkownik mający dostęp do zapieczętowanego wpisu może pobrać jego wrażliwe dane bez wywołania audytu odpieczętowania, wykorzystując spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do wrażliwych danych przechowywanych w zapieczętowanych wpisach, bez rejestrowania tego zdarzenia w audycie. Może to prowadzić do naruszenia poufności i zgodności.
Rekomendacja
Zaleca się aktualizację Devolutions Server do wersji nowszej niż 2026.1.16.0 lub zastosowanie odpowiedniej łatki dostarczonej przez producenta.
Oryginalny opis (angielski, źródło NVD)
Improper enforcement of the sealed-entry workflow in the entry sensitive-data retrieval feature in Devolutions Server allows an authenticated user with access to a sealed entry to retrieve its sensitive data without triggering the unseal audit notification via a crafted API request. This issue affects : * Devolutions Server 2026.1.6.0 through 2026.1.16.0 * Devolutions Server 2025.3.20.0 and earlier