Kiteworks Secure Data Forms is vulnerable to Authorization Bypass Through User-Controlled Key

O Kiteworks Secure Data Forms possui uma falha que permite usuários logados modificarem configurações e fluxos de aprovação de formulários de outros usuários, porque o sistema não verifica adequadamente a propriedade de cada formulário. Isso permite que atacantes contornem controles de acesso e interfiram nos processos de negócio alheios.

Uma vulnerabilidade de IDOR existe no Kiteworks Secure Data Forms (anterior à versão 9.3.0) onde usuários autenticados podem alterar configurações de fluxo de aprovação de formulários pertencentes a outros usuários devido a verificações de autorização insuficientes sobre propriedade de recursos. O vetor de ataque é baseado em rede e requer autenticação prévia; o impacto inclui modificação não autorizada de fluxos de trabalho e processos de aprovação.