| Title | DevolutionsのDevolutions Serverにおける認証の欠如に関する脆弱性 |
|---|---|
| Summary | Devolutions Serverの通知管理エンドポイントにおいて不適切なアクセス制御が存在し、認証されていない攻撃者がセッション検証が欠如している点を悪用して、任意のユーザー通知レコードを変更または削除できる可能性があります。この問題はDevolutions Serverのバージョン2026.1.6.0から2026.1.15.0まで、および2025.3.19.0以前のバージョンに影響します。 |
| Possible impacts | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 12, 2026, midnight |
| Registration Date | May 28, 2026, 2:39 p.m. |
| Last Update | May 28, 2026, 2:39 p.m. |
| CVSS3.0 : 警告 | |
| Score | 4.3 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
| Devolutions |
| Devolutions Server 2025.3.20.0 未満 |
| Devolutions Server 2026.1.6.0 以上 2026.1.16.0 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年05月28日] 掲載 |
May 28, 2026, 2:39 p.m. |
| Summary | Improper access control in the notification management endpoints in Devolutions Server allows an unauthenticated attacker to modify or delete arbitrary user notification records via missing session validation. This issue affects the following versions : * Devolutions Server 2026.1.6.0 through 2026.1.15.0 * Devolutions Server 2025.3.19.0 and earlier |
|---|---|
| Publication Date | May 13, 2026, 3:17 a.m. |
| Registration Date | May 13, 2026, 4:15 a.m. |
| Last Update | May 14, 2026, 1:17 a.m. |