CVE-2026-102149 Kiteworks Email Protection Gateway Improper Access Control
9.4
Analyse på rafaelpfister.ch
- Artikkel · 6. november 2026 Kiteworks EPG 9.5.1: Fire offentlig dokumenterte sikkerhetsrettinger Kiteworks Email Protection Gateway 9.5.1 retter fire offentlig dokumenterte sårbarheter, inkludert en konto-overtakelse med CVSS 9.4. Installasjoner før 9.5.1 bør oppdateres til denne eller en senere versjon.
- Artikkel · 31. oktober 2026 totemomail 9.5.1: Accountovertakelse i Web Portal og SSRF via innkommende e-post lukket totemomail 9.5.1 lukker åtte sikkerhetssårbarheter og bringer totemomail på nivå med Kiteworks-advisoryene for Email Protection Gateway som ble publisert i slutten av september. To sårbarheter kan utnyttes uten innlogging: en feil i tilbakestilling av passord i Web Portal som tillater overtakelse av administratorkontoer, og serversidige oppslag av URL-er fra innkommende meldinger. I tillegg kommer Path Traversal-rettinger i Admin API og Mail API samt oppdaterte Tomcat- og Batik-biblioteker.
- Artikkel · 25. september 2026 Kiteworks: Produsenten anbefaler nedstenging 26. september – det som er kjent så langt Kiteworks ba kundene sine om å stenge ned alle systemer lørdag 26.09.2026 fra kl. 04:00 til 10:00. Sluttrapport: Under nedstengingen fant og lukket produsenten en kritisk sårbarhet uten CVE; 30.09. fulgte 125 advisories, deriblant CVE-2026-54154 (CVSS 10.0) i Email Protection Gateway. Totemomail er ikke berørt.
Produsentens beskrivelse (engelsk)
Kiteworks Email Protection Gateway did not sufficiently restrict which account a certificate could be assigned to. This could allow an attacker to associate a certificate with another user's account, affecting the confidentiality and integrity of that account's encrypted mail and, where certificate-based login is enabled, potentially permitting unauthorized access to the account. Referansedata
- Produsent
- Kiteworks
- Berørte produkter
- Email Protection Gateway
- CVSS 3.1
- 9.4 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Type svakhet
- CWE-306: Missing Authentication
- Publisert
- 30. september 2026
