CVE-2026-102095 Kiteworks Email Protection Gateway server-side request forgery
9.1
Analyse auf rafaelpfister.ch
- Artikel · 31. Oktober 2026 totemomail 9.5.1: Account-Übernahme im Web Portal und SSRF über eingehende Mails geschlossen totemomail 9.5.1 schliesst acht Sicherheitslücken und bringt totemomail auf den Stand, auf den sich die Ende September veröffentlichten Kiteworks-Advisories zum Email Protection Gateway beziehen. Zwei Lücken lassen sich ohne Anmeldung ausnutzen: ein Fehler im Passwort-Reset des Web Portals, der die Übernahme von Administratorkonten erlaubt, und serverseitige Abrufe von URLs aus eingehenden Nachrichten. Dazu kommen Path-Traversal-Fixes in Admin API und Mail API sowie aktualisierte Tomcat- und Batik-Bibliotheken.
- Artikel · 25. September 2026 Kiteworks: Hersteller empfiehlt Abschaltung am 26. September - Was bislang bekannt ist Kiteworks forderte seine Kunden auf, alle Systeme am Samstag, 26.09.2026, von 04:00 bis 10:00 Uhr herunterzufahren. Abschlussbericht: Während der Abschaltung fand und schloss der Hersteller eine kritische Lücke ohne CVE; am 30.09. folgten 125 Advisories, darunter CVE-2026-54154 (CVSS 10.0) im Email Protection Gateway. Totemomail ist nicht betroffen.
Beschreibung des Herstellers (englisch)
Kiteworks Email Protection Gateway before version 9.5.0 is vulnerable to Server-Side Request Forgery. Kiteworks Email Protection Gateway performed server-side fetches of URLs contained in the message content it processed, without adequately restricting the fetch destination. A remote, unauthenticated sender could craft a message that caused the gateway to issue requests to internal services and cloud instance metadata endpoints and return the responses, potentially disclosing sensitive internal data and, depending on the internal service reached, affecting its state. Stammdaten
- Hersteller
- Kiteworks
- Betroffene Produkte
- Email Protection Gateway
- CVSS 3.1
- 9.1 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Schwachstellentyp
- CWE-918: Server-Side Request Forgery
- Veröffentlicht
- 30. September 2026
