Podatności Devolutions Server

W Devolutions Server występuje niewłaściwa kontrola dostępu w API zarządzania uwierzytelnianiem wieloskładnikowym (MFA). Uwierzytelniony atakujący może usunąć własne skonfigurowane czynniki MFA i obniżyć ochronę konta do uwierzytelniania wyłącznie hasłem za pomocą spreparowanych żądań HTTP. Problem dotyczy wersji od 2026.1.6 do 2026.1.11.

W Devolutions Server nieprawidłowa walidacja danych wejściowych w funkcji sprawdzania stanu bramy pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na przeprowadzenie ataku SSRF poprzez spreparowane żądanie API. Może to prowadzić do ujawnienia informacji. Problem dotyczy wersji od 2026.1.1 do 2026.1.11 oraz od 2025.3.1 do 2025.3.17.

W Devolutions Server w wersjach od 2026.1.6 do 2026.1.11 występuje ekspozycja poufnych informacji w funkcji MFA użytkowników. Użytkownicy z uprawnieniami do zarządzania użytkownikami mogą uzyskać klucze OTP innych użytkowników poprzez uwierzytelnione żądanie API.

W Devolutions Server (wersje od 2026.1.6 do 2026.1.11) występuje nieprawidłowa kontrola dostępu w funkcji MFA użytkowników. Uwierzytelniony użytkownik może obejść ograniczenia narzucone przez administratora i usunąć własną konfigurację uwierzytelniania wieloskładnikowego (MFA) za pomocą spreparowanego żądania.

W Devolutions Server 2026.1.11 i starszych występuje niewłaściwe uwierzytelnianie w zewnętrznym przepływie OAuth, pozwalające uwierzytelnionemu użytkownikowi na uwierzytelnienie się jako inni użytkownicy, w tym administratorzy, poprzez ponowne użycie kodu sesji z zewnętrznego przepływu uwierzytelniania.

W Devolutions Server i Remote Desktop Manager (Windows) występuje ekspozycja poświadczeń w niezamierzonych żądaniach. Problem dotyczy Devolutions Server do wersji 2025.3.8.0 oraz Remote Desktop Manager do wersji 2025.3.23.0.

W Devolutions Server występuje ujawnienie poświadczeń usługi e-mail użytkownikom bez uprawnień administracyjnych. Problem dotyczy wersji przed 2025.2.21 i przed 2025.3.9.

W Devolutions Server występuje ujawnienie poświadczeń w niezamierzonych żądaniach. Problem dotyczy wersji Server do 2025.2.20 oraz do 2025.3.8.

W Devolutions Server występuje podatność SQL Injection w logach ostatniego użycia. Problem dotyczy wersji do 2025.2.20 oraz do 2025.3.8.

W Devolutions Server występuje problem z kontrolą dostępu, który pozwala użytkownikowi z rolą View-only na odzyskiwanie wrażliwych pól zagnieżdżonych trzeciego poziomu, takich jak niestandardowe wartości list haseł, co prowadzi do ujawnienia haseł. Dotyczy wersji 2025.3.2.0-2025.3.5.0 oraz 2025.2.15.0 i wcześniejszych.

W Devolutions Server występuje niewłaściwe zarządzanie uprawnieniami podczas obsługi ciasteczek pre-MFA, co pozwala nisko uprzywilejowanemu uwierzytelnionemu użytkownikowi na podszycie się pod inne konto poprzez odtworzenie ciasteczka pre-MFA. Nie omija to jednak weryfikacji MFA docelowego konta. Problem dotyczy wersji 2025.3.2.0 do 2025.3.5.0 oraz 2025.2.15.0 i wcześniejszych.

W Devolutions Server 2025.2.15.0 i wcześniejszych występuje nieprawidłowa walidacja danych wejściowych w API ignorowanych zadań Security Dashboard. Uwierzytelniony użytkownik może spowodować odmowę usługi dla Security Dashboard poprzez spreparowane żądanie.

Nieprawidłowa autoryzacja w przepływie tymczasowego dostępu w Devolutions Server 2025.2.12.0 i wcześniejszych pozwala uwierzytelnionemu podstawowemu użytkownikowi samodzielnie zatwierdzić lub zatwierdzić wnioski o tymczasowy dostęp innych użytkowników i uzyskać nieautoryzowany dostęp do sejfów i wpisów poprzez spreparowane żądania API.

W Devolutions Server 2025.3.2 i wcześniejszych występuje nieprawidłowa walidacja certyfikatów podczas łączenia z bramkami, co pozwala atakującemu typu MitM na przechwycenie ruchu.