CVE-2026-102102 Kiteworks Email Protection Gateway server-side request forgery
9.1
Analyse sur rafaelpfister.ch
- Article · 31 octobre 2026 totemomail 9.5.1 : prise de contrôle de comptes dans le portail web et SSRF via les e-mails entrants corrigés totemomail 9.5.1 corrige huit failles de sécurité et met totemomail au niveau auquel se réfèrent les avis Kiteworks publiés fin septembre concernant l’Email Protection Gateway. Deux failles peuvent être exploitées sans authentification : une erreur dans la réinitialisation du mot de passe du portail web permettant de prendre le contrôle de comptes administrateur, et des requêtes serveur vers des URL contenues dans les messages entrants. S’y ajoutent des correctifs de traversée de chemin dans l’Admin API et la Mail API, ainsi que des bibliothèques Tomcat et Batik mises à jour.
- Article · 25 septembre 2026 Kiteworks : le fabricant recommande un arrêt le 26 septembre – ce que l’on sait jusqu’à présent Kiteworks a demandé à ses clients d’arrêter tous les systèmes le samedi 26.09.2026, de 04:00 à 10:00. Rapport final : pendant l’arrêt, le fabricant a identifié et corrigé une faille critique sans CVE ; le 30.09, 125 avis ont suivi, dont CVE-2026-54154 (CVSS 10.0) dans l’Email Protection Gateway. Totemomail n’est pas concerné.
Description de l'éditeur (en anglais)
Kiteworks Email Protection Gateway before version 9.5.0 is vulnerable to Server-Side Request Forgery (SSRF). A server-side request forgery (SSRF) weakness in Kiteworks Email Protection Gateway could allow a remote, unauthenticated attacker to induce the gateway to issue crafted requests to internal or otherwise unintended network destinations. The requests are triggered while the gateway retrieves an issuer certificate in an inbound message. Depending on the services reachable from the gateway, this could disclose sensitive internal information or disrupt gateway operation. Données de référence
- Éditeur
- Kiteworks
- Produits concernés
- Email Protection Gateway
- CVSS 3.1
- 9.1 (CRITICAL)
- Vecteur
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H- Type de faiblesse
- CWE-918: Server-Side Request Forgery
- Publiée
- 30 septembre 2026
