CVE-2026-102149 Kiteworks Email Protection Gateway Improper Access Control
9.4
Analyse sur rafaelpfister.ch
- Article · 6 novembre 2026 Kiteworks EPG 9.5.1 : quatre correctifs de sécurité documentés publiquement Kiteworks Email Protection Gateway 9.5.1 corrige quatre vulnérabilités documentées publiquement, dont une prise de contrôle de compte avec un CVSS de 9,4. Les installations antérieures à la version 9.5.1 doivent être mises à jour vers cette version ou une version ultérieure.
- Article · 31 octobre 2026 totemomail 9.5.1 : prise de contrôle de comptes dans le portail web et SSRF via les e-mails entrants corrigés totemomail 9.5.1 corrige huit failles de sécurité et met totemomail au niveau auquel se réfèrent les avis Kiteworks publiés fin septembre concernant l’Email Protection Gateway. Deux failles peuvent être exploitées sans authentification : une erreur dans la réinitialisation du mot de passe du portail web permettant de prendre le contrôle de comptes administrateur, et des requêtes serveur vers des URL contenues dans les messages entrants. S’y ajoutent des correctifs de traversée de chemin dans l’Admin API et la Mail API, ainsi que des bibliothèques Tomcat et Batik mises à jour.
- Article · 25 septembre 2026 Kiteworks : le fabricant recommande un arrêt le 26 septembre – ce que l’on sait jusqu’à présent Kiteworks a demandé à ses clients d’arrêter tous les systèmes le samedi 26.09.2026, de 04:00 à 10:00. Rapport final : pendant l’arrêt, le fabricant a identifié et corrigé une faille critique sans CVE ; le 30.09, 125 avis ont suivi, dont CVE-2026-54154 (CVSS 10.0) dans l’Email Protection Gateway. Totemomail n’est pas concerné.
Description de l'éditeur (en anglais)
Kiteworks Email Protection Gateway did not sufficiently restrict which account a certificate could be assigned to. This could allow an attacker to associate a certificate with another user's account, affecting the confidentiality and integrity of that account's encrypted mail and, where certificate-based login is enabled, potentially permitting unauthorized access to the account. Données de référence
- Éditeur
- Kiteworks
- Produits concernés
- Email Protection Gateway
- CVSS 3.1
- 9.4 (CRITICAL)
- Vecteur
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Type de faiblesse
- CWE-306: Missing Authentication
- Publiée
- 30 septembre 2026
