CVE-2026-28271mediumCWE-350CWE-918

CVE-2026-28271: fallo de gravedad media en kiteworks security-advisories

Kiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear security-advisories

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.5%
En resumen

Kiteworks, una plataforma de intercambio de archivos, tenía una falla que permitía que administradores malintencionados eludir protecciones de seguridad y acceder a servicios internos que no deberían poder alcanzar, manipulando configuraciones de DNS.

Detalle técnico

Una vulnerabilidad de Server-Side Request Forgery (SSRF) en Kiteworks anterior a la versión 9.2.0 permite que usuarios administrativos autenticados eludan protecciones de SSRF mediante ataques de DNS rebinding, permitiendo acceso no autorizado a servicios internos de la red. La vulnerabilidad requiere privilegios administrativos y aprovecha la manipulación de la resolución de DNS para redirigir solicitudes del servidor de aplicación a puntos finales internos restringidos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration functionality allows bypassing of SSRF protections through DNS rebinding attacks. Malicious administrators could exploit this to access internal services that should be restricted. Version 9.2.0 contains a patch for the issue.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Productos afectados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-28269MEDIUMKiteworks Core has an OS Command InjectionEPSS 2.2%CVE-2026-28270MEDIUMKiteworks Core has an Unrestricted Upload of File with Dangerous TypeEPSS 1.8%CVE-2025-53900MEDIUMKiteworks MFT has a Privilege Defined With Unsafe ActionsEPSS 1.2%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%