CVE-2026-102149 Kiteworks Email Protection Gateway Improper Access Control
9.4
Análisis en rafaelpfister.ch
- Artículo · 6 de noviembre de 2026 Kiteworks EPG 9.5.1: Cuatro correcciones de seguridad documentadas públicamente Kiteworks Email Protection Gateway 9.5.1 corrige cuatro vulnerabilidades documentadas públicamente, incluida una toma de control de cuentas con CVSS 9.4. Las instalaciones anteriores a 9.5.1 deberían actualizarse a esta versión o a una posterior.
- Artículo · 31 de octubre de 2026 totemomail 9.5.1: corregida la toma de cuentas en el portal web y SSRF a través de correos entrantes totemomail 9.5.1 corrige ocho vulnerabilidades de seguridad y sitúa totemomail al nivel al que se refieren los avisos de Kiteworks sobre Email Protection Gateway publicados a finales de septiembre. Dos vulnerabilidades pueden explotarse sin iniciar sesión: un fallo en el restablecimiento de contraseña del portal web que permite tomar cuentas de administrador y solicitudes del lado del servidor a URL desde mensajes entrantes. También incluye correcciones de path traversal en la API de administración y la API de correo, así como bibliotecas actualizadas de Tomcat y Batik.
- Artículo · 25 de septiembre de 2026 Kiteworks: el fabricante recomienda apagar los sistemas el 26 de septiembre: lo que se sabe hasta ahora Kiteworks pidió a sus clientes que apagaran todos los sistemas el sábado 26/09/2026 de 04:00 a 10:00. Informe final: durante el apagado, el fabricante encontró y corrigió una vulnerabilidad crítica sin CVE; el 30/09 siguieron 125 avisos, entre ellos CVE-2026-54154 (CVSS 10.0) en Email Protection Gateway. Totemomail no está afectado.
Descripción del fabricante (en inglés)
Kiteworks Email Protection Gateway did not sufficiently restrict which account a certificate could be assigned to. This could allow an attacker to associate a certificate with another user's account, affecting the confidentiality and integrity of that account's encrypted mail and, where certificate-based login is enabled, potentially permitting unauthorized access to the account. Datos de referencia
- Fabricante
- Kiteworks
- Productos afectados
- Email Protection Gateway
- CVSS 3.1
- 9.4 (CRITICAL)
- Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Tipo de debilidad
- CWE-306: Missing Authentication
- Publicada
- 30 de septiembre de 2026
