VULNERABILIDAD
CVE-2026-114485 Exposición de información en el endpoint de lista de usuarios de Devolutions Server
Una protección insuficiente de información sensible en el endpoint de lista de usuarios en Devolutions Server 2026.3.10.0 y anteriores permite a un atacante autenticado con permisos delegados de visualización de usuarios obtener los secretos MFA de todos los usuarios mediante la respuesta de la API de lista de usuarios.
Alerta de Nureq Monitor
Detectada 22 OCT · 15:01
CVSS 3.1 · PRELIMINAR
—S/DPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,1 % PERCENTIL 3
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-114485
Una protección insuficiente de información sensible en el endpoint de lista de usuarios en Devolutions Server 2026.3.10.0 y anteriores permite a un atacante autenticado con permisos delegados de visualización de usuarios obtener los secretos MFA de todos los usuarios mediante la respuesta de la API de lista de usuarios.
Productos y versiones afectadas
Devolutions Server
Qué hacer
- Verificá si usás Server y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Abrir la calculadora completa →
Descripción original
Insufficient protection of sensitive information in the user list endpoint in Devolutions Server
2026.3.10.0 and earlier allows an authenticated attacker with delegated user view permissions to obtain the MFA secrets of all users via the user list API response.
Referencias
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.