CVE-2026-114487 Falta de autorización en el endpoint de importación de equipos AD de PAM en Devolutions Server

Qué es CVE-2026-114487

Falta de autorización en el endpoint de importación de equipos AD de PAM en Devolutions Server 2026.3.5.0 hasta 2026.3.10.0 y 2026.2.20.0 y anteriores permite a un usuario autenticado no administrativo con licencia PAM crear subproveedores PAM bajo proveedores AD existentes mediante una petición de importación manipulada.

Productos y versiones afectadas

• Devolutions Server

  • desde 2026.3.5.0 hasta antes de 2026.3.11

• Devolutions Server

  • hasta antes de 2026.2.21

Qué hacer

1. Verificá si usás Server y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

Missing authorization in the PAM AD computer import endpoint in Devolutions Server 2026.3.5.0 through 2026.3.10.0 and 2026.2.20.0 and earlier allows an authenticated non-administrative user with a PAM license to create PAM sub-providers under existing AD providers via a crafted import request.

Referencias

• devolutions.net/security/advisories/DEVO-2026-0037/

Historial de la alerta

1. 22 OCT · 15:02VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.