Podatności Devolutions Server

W Devolutions Server 2026.3.5 nieprawidłowe egzekwowanie reguł w dostawcy PAM Active Directory pozwala użytkownikowi z uprawnieniami edycji PAM na obejście zestawu reguł hosta Devolutions Gateway.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API tokena skanowania sieci bramy pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na wygenerowanie tokena skanowania sieci i przeprowadzenie wewnętrznego wykrywania sieci oraz skanowania portów przez bramę za pomocą spreparowanego żądania API.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API historii załączników pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na trwałe usunięcie lub przywrócenie załączników sejfu za pomocą spreparowanego żądania API.

W Devolutions Server 2026.3.5.0 i wcześniejszych brak autoryzacji w API ustawień źródła danych pozwala uwierzytelnionemu użytkownikowi niebędącemu administratorem na ujawnienie sekretów integracji za pomocą spreparowanego żądania API.

W Devolutions Server w wersjach 2026.3.5.0–2026.3.10.0 oraz 2026.2.20.0 i wcześniejszych brakuje kontroli autoryzacji w punkcie końcowym importu komputerów AD w module PAM. Uwierzytelniony użytkownik bez uprawnień administracyjnych, posiadający licencję PAM, może tworzyć poddostawców PAM w ramach istniejących dostawców AD za pomocą spreparowanego żądania importu.

W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje nieprawidłowa autoryzacja przy generowaniu tokenów Devolutions Gateway. Uwierzytelniony atakujący bez uprawnień administracyjnych może ominąć reguły dostępu sieciowego wirtualnego gatewaya i dotrzeć do zabronionych hostów poprzez dodatkowe miejsca docelowe z symbolami wieloznacznymi podpisane w tokenie gatewaya.

W Devolutions Server w wersji 2026.3.10.0 i wcześniejszych występuje niewystarczająca ochrona informacji wrażliwych w punkcie końcowym listy użytkowników. Uwierzytelniony atakujący z delegowanymi uprawnieniami do przeglądania użytkowników może uzyskać sekrety MFA wszystkich użytkowników poprzez odpowiedź API listy użytkowników.

Nieprawidłowa autoryzacja we właściwościach dodatków (add-on properties) w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu jedynie uprawnienie View na uzyskanie haseł dodatków poprzez nieocenzurowane właściwości dodatków zwracane w danych połączenia.

Podatność typu server-side request forgery w punkcie końcowym grup PingOne w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na eksfiltrację przechowywanego sekretu aplikacji PingOne poprzez kontrolowaną przez atakującego konfigurację PingOne w parametrze żądania.

Nieprawidłowo kontrolowana modyfikacja ustawień podniesienia uprawnień JIT w PAM checkout w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi z dostępem do PAM checkout na usunięcie dowolnych grup Active Directory lub zachowanie podniesionych uprawnień poprzez ustawienia JIT dostarczone przez klienta w żądaniu aktualizacji checkout.

Nieprawidłowa kontrola dostępu w haśle kontaktu zasobu w Devolutions Server 2026.3.8.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi posiadającemu ogólne uprawnienie Edit, ale bez uprawnienia Edit asset, na modyfikację hasła kontaktu zasobu poprzez spreparowane bezpośrednie żądanie do endpointu partial-save.

W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie zewnętrznego logowania Azure AD. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego tokenu sesji logowania ujawnionego w adresie URL przekierowania.

Brak autoryzacji w globalnym sejfie w Devolutions Server 2026.3.7.0 i wcześniejszych wersjach pozwala uwierzytelnionemu użytkownikowi z uprawnieniem tylko do podglądu globalnego sejfu na modyfikowanie i usuwanie globalnych wpisów kontaktów oraz folderów.

W Devolutions Server 2026.3.7.0 i wcześniejszych występuje obejście uwierzytelniania w przepływie autoryzacji urządzenia OAuth. Zdalny atakujący może przejąć konto użytkownika poprzez powtórzenie przechwyconego linku weryfikacji urządzenia przez uwierzytelnioną ofiarę.

Niewłaściwa kontrola dostępu w API połączeń częściowych w Devolutions Server 2026.3.5.0 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na odczyt, tworzenie, modyfikowanie i usuwanie wpisów System Vault poprzez spreparowane żądanie API.

Devolutions Server 2026.3.5.0 i wcześniejsze przechowuje wrażliwe informacje w postaci jawnego tekstu w bazie danych. Atakujący z dostępem do odczytu bazy danych może uzyskać tokeny zewnętrznego dostawcy tożsamości oraz identyfikatory aktywnych sesji.

Nieprawidłowa walidacja certyfikatów przy połączeniach LDAPS do Active Directory w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu z pozycji sieciowej na przechwycenie uprzywilejowanych poświadczeń usługi katalogowej poprzez sfałszowany certyfikat kontrolera domeny. Podatność umożliwia atak typu man-in-the-middle.

Podatność typu Server-Side Request Forgery (SSRF) w funkcji synchronizacji VMware w Devolutions Server 2026.2.16 i wcześniejszych pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na uzyskanie poświadczeń innych użytkowników oraz dostęp do wewnętrznych lub chmurowych punktów końcowych metadanych poprzez spreparowaną definicję połączenia przesłaną do odkrywania centrum danych. Podatność może być wykorzystana do eskalacji uprawnień i ruchu bocznego.

Nieprawidłowa kontrola dostępu w funkcji listowania wpisów sejfu w Devolutions Server 2026.2.16 i wcześniejszych pozwala uwierzytelnionemu użytkownikowi bez uprawnienia view-password na uzyskanie haseł w postaci jawnej poprzez żądanie do punktu końcowego listowania wpisów z parametrami ujawniania haseł. Podatność narusza poufność przechowywanych poświadczeń.

Nieprawidłowa walidacja certyfikatów we wspólnym kliencie HTTP używanym przez funkcje synchronizacji i integracji w Devolutions Server 2026.2.16 i wcześniejszych pozwala atakującemu w sieci na przechwycenie i modyfikację wychodzących połączeń TLS za pomocą sfałszowanego lub samopodpisanego certyfikatu.

W Devolutions Server od wersji 2026.2.4.0 do 2026.2.12.0 oraz w wersji 2026.1.23.0 i wcześniejszych, niewłaściwa kontrola dostępu w punktach końcowych historii haseł PAM pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na ujawnienie tajnych haseł w postaci jawnego tekstu poprzez spreparowane żądania API.

Podatność nieprawidłowej kontroli dostępu w synchronizatorze NetBox w Devolutions Server. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu może uzyskać token API przechowywany dla wpisu.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi niebędącemu administratorem, posiadającemu uprawnienia do zarządzania członkostwem w grupach użytkowników, eskalację uprawnień do administratora poprzez spreparowane żądanie API. Problem dotyczy wersji od 2026.2.4.0 do 2026.2.12.0 oraz 2026.1.23.0 i wcześniejszych.

W Devolutions Server 2026.1.22.0 i 2026.2.11.0 w funkcji generowania pliku odpowiedzi Recovery Kit następuje wstawienie poufnych informacji do pliku. Umożliwia to atakującemu z dostępem do wygenerowanego pliku odczytanie sekretu klienta Azure Key Vault w postaci jawnego tekstu, nawet gdy wybrano opcję wykluczenia poufnych danych.

Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami zatwierdzenie własnego oczekującego żądania dostępu poprzez bezpośrednie wywołanie endpointu statusu żądania, z pominięciem wymaganego przeglądu przez osobę zatwierdzającą.

Podatność w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami ujawnienie klucza prywatnego SSH lub certyfikatu PAM poprzez bezpośrednie odwołanie do identyfikatora poświadczenia. Problem dotyczy punktów końcowych pobierania kluczy SSH i certyfikatów PAM.

Podatność w Devolutions Server 2026.2.11 i 2026.1.22 umożliwia uwierzytelnionemu użytkownikowi usunięcie wiadomości innego użytkownika poprzez bezpośrednie odwołanie do identyfikatora wiadomości w punkcie końcowym usuwania bezpiecznych wiadomości. Problem wynika z nieprawidłowej autoryzacji.

W Devolutions Server 2026.2.9.0 stwierdzono nieprawidłowe egzekwowanie obowiązkowej polityki uwierzytelniania wieloskładnikowego (MFA). Atakujący posiadający prawidłowe dane logowania użytkownika może ominąć politykę wymagającą MFA i uwierzytelnić się bez przejścia pełnego procesu MFA. Problem występuje, gdy DVLS napotka nieprawidłową domyślną wartość MFA.

Podatność w Devolutions Server w wersjach 2026.2.4.0 do 2026.2.7.0 umożliwia uwierzytelnionemu użytkownikowi z uprawnieniem UserGroupsView wymuszenie uwierzytelnienia po stronie serwera na kontrolowanym przez atakującego hoście. Poprzez spreparowany parametr DomainName w punktach końcowych wykrywania PAM AD, atakujący może przechwycić dane uwierzytelniające dostawcy PAM w postaci odpowiedzi wyzwania NTLMv2.

W Devolutions Server 2026.2.5 występuje niewłaściwa kontrola dostępu w punkcie końcowym logowania społecznościowego, co pozwala uwierzytelnionemu członkowi skarbca na enumerację metadanych logowania społecznościowego, do których nie ma uprawnień.

W Devolutions Server 2026.2.5 oraz 2026.1.21 występuje niewłaściwa kontrola dostępu, która pozwala uwierzytelnionemu użytkownikowi na dostęp do załączników poprzez duplikację folderów z dziedziczonymi uprawnieniami.

Brak autoryzacji w API usuniętych grup użytkowników w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wyliczenie metadanych usuniętych grup poprzez spreparowane żądanie API.

Nieprawidłowa kontrola dostępu w ustawieniach integracji z systemami biletowymi w Devolutions Server umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach uzyskanie haseł w czystym tekście dla skonfigurowanych integracji poprzez spreparowane żądanie API. Problem dotyczy Devolutions Server 2026.2.4.0 oraz 2026.1.20.0 i wcześniejszych.

Podatność w Devolutions Server pozwala uwierzytelnionemu użytkownikowi z prawem zapisu do sejfu na wykonanie dowolnych poleceń na systemach zarządzanych przez dostawcę PAM. Problem występuje w szablonach rotacji haseł wbudowanego dostawcy PAM.

Devolutions Server 2026.1.19 i wcześniejsze wersje mają nieprawidłową kontrolę dostępu w komponencie walidacji uprawnień. Uwierzytelniony użytkownik z uprawnieniami do edycji wpisów może modyfikować informacje o zasobach bez wymaganych uprawnień.

Devolutions Server 2026.1.19 i wcześniejsze wersje mają nieprawidłową kontrolę dostępu w funkcji wykrywania kont PAM, co pozwala uwierzytelnionemu użytkownikowi bez uprawnień administracyjnych na usuwanie konfiguracji skanowania sieci.

Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych ma brak autoryzacji w funkcji zarządzania statusem wpisów. Uwierzytelniony użytkownik niebędący administratorem może ominąć wymagany przez administratora przepływ zatwierdzania i uzyskać dostęp do danych wpisu poprzez spreparowane żądanie zmiany statusu.

W Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych, niezweryfikowana zmiana hasła pozwala atakującemu na zmianę hasła użytkownika bez podania poprzedniego, poprzez spreparowane żądanie zmiany hasła.

W Devolutions Server w wersjach 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych, ominięcie autoryzacji w funkcji duplikowania wpisów pozwala uwierzytelnionemu użytkownikowi z dostępem do zapisu w dowolnym sejfie na skopiowanie dokumentacji i załączników z wpisu w sejfie, do którego nie ma dostępu, poprzez spreparowane żądanie zapisu.

W Devolutions Server, niewystarczające logowanie w funkcji eksportu wpisów pozwala uwierzytelnionemu użytkownikowi z uprawnieniami eksportu na wyeksportowanie zapieczętowanego wpisu bez wywołania powiadomienia o odpieczętowaniu dla administratorów, poprzez spreparowane żądanie eksportu.

W Devolutions Server wykryto problem z kontrolą dostępu w funkcjach dokumentacji i załączników wpisów. Uwierzytelniony użytkownik z dostępem do odczytu sejfu może pobrać dokumentację i załączniki zapieczętowanych wpisów poprzez spreparowane żądanie API.

Nieprawidłowa walidacja wejścia w przepływie zewnętrznego dostawcy uwierzytelniania w Devolutions Server umożliwia nieuwierzytelnionemu zdalnemu atakującemu przekierowanie ofiar do kontrolowanej domeny za pomocą spreparowanego linku logowania. Podatność dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.

W Devolutions Server brak autoryzacji w funkcji aktualizacji profilu użytkownika pozwala uwierzytelnionemu użytkownikowi Active Directory na modyfikację własnych atrybutów profilu poprzez spreparowane żądanie API.

W Devolutions Server do wersji 2026.1.16.0 brak autoryzacji w funkcji importu sejfów pozwala uwierzytelnionemu użytkownikowi z niskimi uprawnieniami na tworzenie nowych sejfów poprzez spreparowane żądanie importu.

Nieprawidłowe zarządzanie stanem klucza czynnika w funkcji zarządzania uwierzytelnianiem wieloskładnikowym w Devolutions Server umożliwia atakującemu znającemu hasło użytkownika ominięcie uwierzytelniania wieloskładnikowego po rekonfiguracji czynników przez użytkownika.

W Devolutions Server wykryto problem z egzekwowaniem przepływu pracy dla zapieczętowanych wpisów w funkcji pobierania wrażliwych danych. Uwierzytelniony użytkownik mający dostęp do zapieczętowanego wpisu może pobrać jego wrażliwe dane bez wywołania audytu odpieczętowania, wykorzystując spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.

Nieprawidłowa autoryzacja w funkcji przeglądania Active Directory w Devolutions Server. Niskouprzywilejowany uwierzytelniony użytkownik może uzyskać materiały uwierzytelniające powiązane z kontem usługi PAM poprzez przekierowanie uwierzytelniania na serwer kontrolowany przez atakującego.

Niewłaściwa kontrola dostępu w funkcji dziennika aktywności wpisów w Devolutions Server pozwala uwierzytelnionemu użytkownikowi z dostępem do wpisu, ale bez wymaganych uprawnień, na pobranie dziennika aktywności tego wpisu poprzez spreparowane żądanie API. Problem dotyczy wersji 2026.1.6.0 do 2026.1.16.0 oraz 2025.3.20.0 i wcześniejszych.

W Devolutions Server występuje niewłaściwa kontrola dostępu w punktach końcowych zarządzania powiadomieniami, co pozwala nieuwierzytelnionemu atakującemu na modyfikację lub usunięcie dowolnych rekordów powiadomień użytkowników z powodu braku walidacji sesji. Dotyczy to wersji 2026.1.6.0 do 2026.1.15.0 oraz 2025.3.19.0 i wcześniejszych.

Nieprawidłowa kontrola dostępu w funkcji dokumentacji sejfu w Devolutions Server pozwala uwierzytelnionemu atakującemu na odczyt treści dokumentacji z nieautoryzowanych sejfów za pomocą spreparowanego żądania API. Problem dotyczy Server od 2026.1.6.0 do 2026.1.14.0 oraz do 2025.3.18.0.