CVE-2026-28270mediumCWE-434

CVE-2026-28270: fallo de gravedad media en kiteworks security-advisories

Kiteworks Core has an Unrestricted Upload of File with Dangerous Type

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear security-advisories

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 4.9epss 1.8%
En resumen

Kiteworks permite que administradores carguen archivos sin validar su tipo ni seguridad, permitiendo agregar archivos peligrosos a la red. Esto importa porque podría permitir a atacantes almacenar contenido malicioso en el sistema.

Detalle técnico

Vulnerabilidad CWE-434 en Kiteworks anterior a v9.2.0 permite cargas de archivo sin restricciones debido a validación insuficiente de tipo en puntos finales accesibles por administrador. Un administrador autenticado y malicioso puede cargar tipos de archivo arbitrarios, habilitando potencialmente ejecución de código o exfiltración de datos según el procesamiento de archivos cargados. Corregido en versión 9.2.0.

Resumen generado y traducido por IA a partir de la descripción oficial.
Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration allows uploading of arbitrary files without proper validation. Malicious administrators could exploit this to upload unauthorized file types to the system. Version 9.2.0 contains a patch for the issue.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
Productos afectados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-28269MEDIUMKiteworks Core has an OS Command InjectionEPSS 2.2%CVE-2025-53900MEDIUMKiteworks MFT has a Privilege Defined With Unsafe ActionsEPSS 1.2%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28271MEDIUMKiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)EPSS 0.5%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%