| Title | DevolutionsのDevolutions Serverにおける認証の欠如に関する脆弱性 |
|---|---|
| Summary | Devolutions Server のエントリードキュメントおよび添付機能における不適切なアクセス制御により、ボールトの読み取りアクセス権を持つ認証済みユーザーが細工された API リクエストを通じて封印されたエントリーのドキュメントおよび添付ファイルを取得できてしまう問題です。影響を受けるバージョンは Devolutions Server 2026.1.6.0 から 2026.1.16.0、ならびに Devolutions Server 2025.3.20.0 およびそれ以前のバージョンです。 |
| Possible impacts | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 22, 2026, midnight |
| Registration Date | May 28, 2026, 2:35 p.m. |
| Last Update | May 28, 2026, 2:35 p.m. |
| CVSS3.0 : 警告 | |
| Score | 4.3 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
| Devolutions |
| Devolutions Server 2025.3.22.0 未満 |
| Devolutions Server 2026.1.6.0 以上 2026.1.19.0 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月28日] 掲載 |
May 28, 2026, 2:35 p.m. |
| Summary | Improper access control in the entry documentation and attachment features in Devolutions Server allows an authenticated user with vault read access to retrieve the documentation and attachments of sealed entries via a crafted API request. This issue affects : * Devolutions Server 2026.1.6.0 through 2026.1.16.0 |
|---|---|
| Publication Date | May 23, 2026, 1:16 a.m. |
| Registration Date | May 27, 2026, 4:05 a.m. |
| Last Update | May 23, 2026, 4:04 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:devolutions:devolutions_server:*:*:*:*:*:*:*:* | 2025.3.22.0 | ||||
| cpe:2.3:a:devolutions:devolutions_server:*:*:*:*:*:*:*:* | 2026.1.6.0 | 2026.1.19.0 | |||