CVE-2026-102106 Kiteworks Email Protection Gateway improper authentication
9.1
Analyse på rafaelpfister.ch
- Artikkel · 31. oktober 2026 totemomail 9.5.1: Accountovertakelse i Web Portal og SSRF via innkommende e-post lukket totemomail 9.5.1 lukker åtte sikkerhetssårbarheter og bringer totemomail på nivå med Kiteworks-advisoryene for Email Protection Gateway som ble publisert i slutten av september. To sårbarheter kan utnyttes uten innlogging: en feil i tilbakestilling av passord i Web Portal som tillater overtakelse av administratorkontoer, og serversidige oppslag av URL-er fra innkommende meldinger. I tillegg kommer Path Traversal-rettinger i Admin API og Mail API samt oppdaterte Tomcat- og Batik-biblioteker.
- Artikkel · 25. september 2026 Kiteworks: Produsenten anbefaler nedstenging 26. september – det som er kjent så langt Kiteworks ba kundene sine om å stenge ned alle systemer lørdag 26.09.2026 fra kl. 04:00 til 10:00. Sluttrapport: Under nedstengingen fant og lukket produsenten en kritisk sårbarhet uten CVE; 30.09. fulgte 125 advisories, deriblant CVE-2026-54154 (CVSS 10.0) i Email Protection Gateway. Totemomail er ikke berørt.
Produsentens beskrivelse (engelsk)
Improper authentication in a Kiteworks Email Protection Gateway administrative service. An administrative service in Kiteworks Email Protection Gateway did not consistently enforce administrator authentication, so the required password check could be bypassed. An attacker who referenced a valid administrator account could potentially create, modify, or delete internal users and managed domains and change their security-feature configuration without authenticating; deleting a managed domain also removes its user accounts and could lock administrators out of the gateway. Referansedata
- Produsent
- Kiteworks
- Berørte produkter
- Email Protection Gateway
- CVSS 3.1
- 9.1 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H- Type svakhet
- CWE-287: Improper Authentication
- Publisert
- 30. september 2026
