Неправильный контроль доступа в синхронизаторе NetBox на Devolutions Server позволяет аутентифицированному пользователю с разрешением только на просмотр записи получить сохраненный токен API через конечную точку частичного соединения.
Эта проблема затрагивает:
* Сервер передачи данных с 2026.2.4.0 по 2026.2.12.0.
* Сервер передачи 2026.1.23.0 и более ранние версии.
Показать оригинальное описание (EN)
Improper access control in the NetBox synchronizer in Devolutions Server allows an authenticated user with view-only permission on an entry to obtain a stored API token via the partial connection endpoint. This issue affects : * Devolutions Server 2026.2.4.0 through 2026.2.12.0 * Devolutions Server 2026.1.23.0 and earlier
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Devolutions Devolutions_Server
cpe:2.3:a:devolutions:devolutions_server:*:*:*:*:*:*:*:*
|
— |
2026.1.24.0
|
|
Devolutions Devolutions_Server
cpe:2.3:a:devolutions:devolutions_server:*:*:*:*:*:*:*:*
|
2026.2.4.0
|
2026.2.14.0
|