Improper authorization in the secure messages deletion endpoint in Devolutions Server 2026.2.11, 2026.1.22 allows an authenticated user to d

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• devolutions devolutions serverдо 2026.1.23.0
• devolutions devolutions server2026.2.0.0 и новее · до 2026.2.12.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (DEVOLUTIONS). Не зависят от анализа CPE в NVD и обычно опережают его.

• Devolutions Server

  • до 2026.1.23затронута
  • до 2026.2.12затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-3224Authentication bypass in the Microsoft Entra ID (Azure AD) authentication mode in Devolutions Server 2025.3.15.0 and earlier allows an unaut
  39Наблюдать
• CVE-2026-3204Improper input validation in the error message page in Devolutions Server 2025.3.16 and earlier allows remote attackers to spoof the displa
  39Наблюдать
• CVE-2026-3130Improper Enforcement of Behavioral Controls in Devolutions Server 2025.3.15 and earlier allows an authenticated attacker with the delete per
  39Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-1275525 июн. 2026 г. · Improper input validation in the PAM AD discovery endpoints in Devolutions Server 2026.2.4.0 through 2026.2.7.0 allows an authenticated us
  10Наблюдать
• ← РаньшеCVE-2026-145366 июл. 2026 г. · Improper enforcement of a mandatory multi-factor authentication policy in Devolutions Server 2026.2.9.0 allows an attacker with valid user c
  35Наблюдать
• Позже →CVE-2026-1563714 июл. 2026 г. · Improper authorization in the PAM SSH key and certificate retrieval endpoints in Devolutions Server 2026.2.11, 2026.1.22 allows an authent
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.