CVE-2026-28270mediumCWE-434

CVE-2026-28270: falha de média gravidade em kiteworks security-advisories

Kiteworks Core has an Unrestricted Upload of File with Dangerous Type

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar security-advisories

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 4.9epss 1.8%
Em resumo

O Kiteworks permite que administradores façam upload de arquivos sem validar seu tipo ou segurança, possibilitando adicionar arquivos perigosos à rede. Isso é importante porque pode permitir que atacantes armazenem conteúdo malicioso no sistema.

Detalhe técnico

Vulnerabilidade CWE-434 no Kiteworks anterior à v9.2.0 permite uploads de arquivo irrestrito devido à validação insuficiente de tipo em endpoints acessíveis por administrador. Um admin autenticado e malicioso pode fazer upload de tipos arbitrários de arquivo, potencialmente habilitando execução de código ou exfiltração de dados conforme o processamento dos arquivos. Corrigido na versão 9.2.0.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration allows uploading of arbitrary files without proper validation. Malicious administrators could exploit this to upload unauthorized file types to the system. Version 9.2.0 contains a patch for the issue.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

No mesmo produto, das mais perigosas para as menos.

CVE-2026-28269MEDIUMKiteworks Core has an OS Command InjectionEPSS 2.2%CVE-2025-53900MEDIUMKiteworks MFT has a Privilege Defined With Unsafe ActionsEPSS 1.2%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28271MEDIUMKiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)EPSS 0.5%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%