CVE-2026-102095 Kiteworks Email Protection Gateway server-side request forgery
9.1
Analyse sur rafaelpfister.ch
- Article · 31 octobre 2026 totemomail 9.5.1 : prise de contrôle de comptes dans le portail web et SSRF via les e-mails entrants corrigés totemomail 9.5.1 corrige huit failles de sécurité et met totemomail au niveau auquel se réfèrent les avis Kiteworks publiés fin septembre concernant l’Email Protection Gateway. Deux failles peuvent être exploitées sans authentification : une erreur dans la réinitialisation du mot de passe du portail web permettant de prendre le contrôle de comptes administrateur, et des requêtes serveur vers des URL contenues dans les messages entrants. S’y ajoutent des correctifs de traversée de chemin dans l’Admin API et la Mail API, ainsi que des bibliothèques Tomcat et Batik mises à jour.
- Article · 25 septembre 2026 Kiteworks : le fabricant recommande un arrêt le 26 septembre – ce que l’on sait jusqu’à présent Kiteworks a demandé à ses clients d’arrêter tous les systèmes le samedi 26.09.2026, de 04:00 à 10:00. Rapport final : pendant l’arrêt, le fabricant a identifié et corrigé une faille critique sans CVE ; le 30.09, 125 avis ont suivi, dont CVE-2026-54154 (CVSS 10.0) dans l’Email Protection Gateway. Totemomail n’est pas concerné.
Description de l'éditeur (en anglais)
Kiteworks Email Protection Gateway before version 9.5.0 is vulnerable to Server-Side Request Forgery. Kiteworks Email Protection Gateway performed server-side fetches of URLs contained in the message content it processed, without adequately restricting the fetch destination. A remote, unauthenticated sender could craft a message that caused the gateway to issue requests to internal services and cloud instance metadata endpoints and return the responses, potentially disclosing sensitive internal data and, depending on the internal service reached, affecting its state. Données de référence
- Éditeur
- Kiteworks
- Produits concernés
- Email Protection Gateway
- CVSS 3.1
- 9.1 (CRITICAL)
- Vecteur
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N- Type de faiblesse
- CWE-918: Server-Side Request Forgery
- Publiée
- 30 septembre 2026
