CVE-2025-53900mediumCWE-267

CVE-2025-53900: falha de média gravidade em kiteworks security-advisories

Kiteworks MFT has a Privilege Defined With Unsafe Actions

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar security-advisories

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 1.2%
Em resumo

O Kiteworks MFT possui um problema na definição de papéis e permissões para gerenciar conexões de transferência de arquivos. Usuários autorizados poderiam obter mais direitos de acesso do que o pretendido, resultando em escalação de privilégios.

Detalhe técnico

A vulnerabilidade CWE-267 envolve definição inadequada de privilégios no controle de acesso baseado em papéis. Um usuário autenticado com privilégios padrão poderia escalar suas permissões explorando papéis mal configurados no módulo de gerenciamento de Conexões, potencialmente obtendo acesso no nível administrativo aos fluxos de trabalho.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Kiteworks MFT orchestrates end-to-end file transfer workflows. Prior to version 9.1.0, an unfavourable definition of roles and permissions in Kiteworks MFT on managing Connections could lead to unexpected escalation of privileges for authorized users. This issue has been patched in version 9.1.0.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

No mesmo produto, das mais perigosas para as menos.

CVE-2026-28269MEDIUMKiteworks Core has an OS Command InjectionEPSS 2.2%CVE-2026-28270MEDIUMKiteworks Core has an Unrestricted Upload of File with Dangerous TypeEPSS 1.8%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28271MEDIUMKiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)EPSS 0.5%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%