CVE-2026-28269mediumCWE-78

CVE-2026-28269: falha de média gravidade em kiteworks security-advisories

Kiteworks Core has an OS Command Injection

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar security-advisories

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.9epss 2.2%
Em resumo

Kiteworks permite que usuários autenticados redirecionem a saída de comandos para arquivos arbitrários, podendo sobrescrever arquivos críticos do sistema e obter acesso elevado. É uma falha de injeção de comando que exige uma conta de usuário existente para ser explorada.

Detalhe técnico

Injeção de comando OS (CWE-78) no Kiteworks Core anterior à versão 9.2.0 permite que usuários autenticados manipulem o redirecionamento de saída de comandos para caminhos de arquivo arbitrários. A vulnerabilidade possibilita ataques de sobrescrita de arquivos do sistema, potencialmente levando a escalação de privilégio. O vetor de ataque requer credenciais de autenticação válidas e acesso à funcionalidade vulnerável de execução de comandos.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Kiteworks is a private data network (PDN). Prior to version 9.2.0, avulnerability in Kiteworks command execution functionality allows authenticated users to redirect command output to arbitrary file locations. This could be exploited to overwrite critical system files and gain elevated access. Version 9.2.0 contains a patch.
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N
Produtos afetados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

No mesmo produto, das mais perigosas para as menos.

CVE-2026-28270MEDIUMKiteworks Core has an Unrestricted Upload of File with Dangerous TypeEPSS 1.8%CVE-2025-53900MEDIUMKiteworks MFT has a Privilege Defined With Unsafe ActionsEPSS 1.2%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28271MEDIUMKiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)EPSS 0.5%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%