CVE-2026-102102 Kiteworks Email Protection Gateway server-side request forgery
9.1
Analyse auf rafaelpfister.ch
- Artikel · 31. Oktober 2026 totemomail 9.5.1: Account-Übernahme im Web Portal und SSRF über eingehende Mails geschlossen totemomail 9.5.1 schliesst acht Sicherheitslücken und bringt totemomail auf den Stand, auf den sich die Ende September veröffentlichten Kiteworks-Advisories zum Email Protection Gateway beziehen. Zwei Lücken lassen sich ohne Anmeldung ausnutzen: ein Fehler im Passwort-Reset des Web Portals, der die Übernahme von Administratorkonten erlaubt, und serverseitige Abrufe von URLs aus eingehenden Nachrichten. Dazu kommen Path-Traversal-Fixes in Admin API und Mail API sowie aktualisierte Tomcat- und Batik-Bibliotheken.
- Artikel · 25. September 2026 Kiteworks: Hersteller empfiehlt Abschaltung am 26. September - Was bislang bekannt ist Kiteworks forderte seine Kunden auf, alle Systeme am Samstag, 26.09.2026, von 04:00 bis 10:00 Uhr herunterzufahren. Abschlussbericht: Während der Abschaltung fand und schloss der Hersteller eine kritische Lücke ohne CVE; am 30.09. folgten 125 Advisories, darunter CVE-2026-54154 (CVSS 10.0) im Email Protection Gateway. Totemomail ist nicht betroffen.
Beschreibung des Herstellers (englisch)
Kiteworks Email Protection Gateway before version 9.5.0 is vulnerable to Server-Side Request Forgery (SSRF). A server-side request forgery (SSRF) weakness in Kiteworks Email Protection Gateway could allow a remote, unauthenticated attacker to induce the gateway to issue crafted requests to internal or otherwise unintended network destinations. The requests are triggered while the gateway retrieves an issuer certificate in an inbound message. Depending on the services reachable from the gateway, this could disclose sensitive internal information or disrupt gateway operation. Stammdaten
- Hersteller
- Kiteworks
- Betroffene Produkte
- Email Protection Gateway
- CVSS 3.1
- 9.1 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H- Schwachstellentyp
- CWE-918: Server-Side Request Forgery
- Veröffentlicht
- 30. September 2026
