CVE-2026-0610

SQL Injection w module remote-sessions Devolutions Server

CVSS 9.8v3.1pub. 2026-01-19upd. 2026-02-10

Krytyczna podatność typu SQL Injection w module remote-sessions produktu Devolutions Server umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań bazodanowych. Ze względu na brak wymogu uwierzytelnienia i sieciowy wektor ataku, podatność stanowi poważne zagrożenie dla bezpieczeństwa danych.

▸ Pokaż oryginał (EN)

SQL Injection vulnerability in remote-sessions in Devolutions Server.This issue affects Devolutions Server 2025.3.1 through 2025.3.12

🤖 Analiza AI

Jak działa

Podatność wynika z braku odpowiedniego walidowania i sanityzacji danych wejściowych przekazywanych do zapytań SQL w module remote-sessions (CWE-89). Atakujący może wstrzyknąć złośliwe fragmenty kodu SQL bezpośrednio poprzez sieć, bez konieczności posiadania jakichkolwiek poświadczeń. Złośliwe zapytania są następnie wykonywane przez silnik bazodanowy z uprawnieniami aplikacji.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przechowywanych w bazie danych, modyfikować lub usuwać dane, a potencjalnie przejąć kontrolę nad systemem — co odpowiada pełnemu naruszeniu poufności, integralności i dostępności.

Mitygacja

Należy jak najszybciej zaktualizować Devolutions Server do wersji wyższej niż 2025.3.12, zgodnie z wytycznymi producenta dostępnymi pod adresem https://devolutions.net/security/advisories/DEVO-2026-0003/. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do instancji Devolutions Server wyłącznie do zaufanych adresów IP.