CVE-2026-28271mediumCWE-350CWE-918

CVE-2026-28271: falha de média gravidade em kiteworks security-advisories

Kiteworks Core is vulnerable to Server-Side Request Forgery (SSRF)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar security-advisories

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 0.5%
Em resumo

O Kiteworks, uma plataforma de compartilhamento de arquivos, tinha um problema que permitia que administradores mal-intencionados burlassem proteções de segurança e acessassem serviços internos que não deveriam alcançar, manipulando configurações de DNS.

Detalhe técnico

Uma vulnerabilidade de Server-Side Request Forgery (SSRF) no Kiteworks anterior à versão 9.2.0 permite que usuários administrativos autenticados contornem proteções de SSRF por meio de ataques de DNS rebinding, viabilizando acesso não autorizado a serviços internos da rede. A vulnerabilidade exige privilégios administrativos e explora manipulação de resolução de DNS para redirecionar requisições do servidor de aplicação para pontos finais internos restritos.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration functionality allows bypassing of SSRF protections through DNS rebinding attacks. Malicious administrators could exploit this to access internal services that should be restricted. Version 9.2.0 contains a patch for the issue.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
kiteworks · security-advisories
CVEs relacionadas — kiteworks security-advisories

No mesmo produto, das mais perigosas para as menos.

CVE-2026-28269MEDIUMKiteworks Core has an OS Command InjectionEPSS 2.2%CVE-2026-28270MEDIUMKiteworks Core has an Unrestricted Upload of File with Dangerous TypeEPSS 1.8%CVE-2025-53900MEDIUMKiteworks MFT has a Privilege Defined With Unsafe ActionsEPSS 1.2%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 1.0%CVE-2025-53939MEDIUMKiteworks Core is vulnerable to Improper Input ValidationEPSS 0.8%CVE-2026-28272HIGHKiteworks Email Protection Gateway has a Cross-site Scripting vulnerabilityEPSS 0.4%