CVE-2025-53900mediumCWE-267

CVE-2025-53900: fallo de gravedad media en kiteworks security-advisories

Kiteworks MFT has a Privilege Defined With Unsafe Actions

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear security-advisories

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 1.2%
En resumen

Kiteworks MFT tiene un fallo en la forma en que define roles y permisos de usuario para gestionar conexiones de transferencia de archivos. Usuarios autorizados podrían obtener más derechos de acceso de lo previsto, resultando en escalación de privilegios.

Detalle técnico

La vulnerabilidad CWE-267 implica una definición inadecuada de privilegios en el control de acceso basado en roles. Un atacante autenticado con privilegios de usuario estándar podría escalar permisos explotando roles mal configurados en el módulo de gestión de Conexiones, obteniendo potencialmente acceso a nivel administrativo a los flujos de trabajo.

Resumen generado y traducido por IA a partir de la descripción oficial.
Kiteworks MFT orchestrates end-to-end file transfer workflows. Prior to version 9.1.0, an unfavourable definition of roles and permissions in Kiteworks MFT on managing Connections could lead to unexpected escalation of privileges for authorized users. This issue has been patched in version 9.1.0.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Productos afectados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-28269MEDIUMKiteworks Core has an OS Command InjectionEPSS 2.2%CVE-2026-28270MEDIUMKiteworks Core has an Unrestricted Upload of File with Dangerous TypeEPSS 1.8%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28271MEDIUMKiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)EPSS 0.5%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%