CVE-2026-28269mediumCWE-78

CVE-2026-28269: fallo de gravedad media en kiteworks security-advisories

Kiteworks Core has an OS Command Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear security-advisories

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.9epss 2.2%
En resumen

Kiteworks permite que usuarios autenticados redirijan la salida de comandos a archivos arbitrarios, pudiendo sobrescribir archivos críticos del sistema y obtener acceso elevado. Es una vulnerabilidad de inyección de comandos que requiere una cuenta de usuario existente para ser explotada.

Detalle técnico

Inyección de comandos OS (CWE-78) en Kiteworks Core anterior a la versión 9.2.0 permite que usuarios autenticados manipulen el redireccionamiento de salida de comandos a rutas de archivo arbitrarias. La vulnerabilidad permite ataques de sobrescritura de archivos del sistema, potencialmente conduciendo a escalación de privilegios. El vector de ataque requiere credenciales de autenticación válidas y acceso a la funcionalidad vulnerable de ejecución de comandos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Kiteworks is a private data network (PDN). Prior to version 9.2.0, avulnerability in Kiteworks command execution functionality allows authenticated users to redirect command output to arbitrary file locations. This could be exploited to overwrite critical system files and gain elevated access. Version 9.2.0 contains a patch.
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N
Productos afectados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-28270MEDIUMKiteworks Core has an Unrestricted Upload of File with Dangerous TypeEPSS 1.8%CVE-2025-53900MEDIUMKiteworks MFT has a Privilege Defined With Unsafe ActionsEPSS 1.2%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28271MEDIUMKiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)EPSS 0.5%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%