Неправильный контроль создания кода («внедрение кода») в функции настроек в Devolutions PowerShell Universal 2026.2.3 и более ранних версиях позволяет аутентифицированному пользователю с разрешением на управление настройками выполнять произвольный код PowerShell с помощью созданного значения параметра, которое не экранируется должным образом при записи в файл конфигурации параметров.
Показать оригинальное описание (EN)
Improper control of generation of code ('Code Injection') in the settings feature in Devolutions PowerShell Universal 2026.2.3 and earlier allows an authenticated user with settings management permission to execute arbitrary PowerShell code via a crafted setting value that is not properly escaped when written to the settings configuration file.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1