CVE-2026-102102 Kiteworks Email Protection Gateway server-side request forgery
9.1
Analys på rafaelpfister.ch
- Artikel · 31 oktober 2026 totemomail 9.5.1: Kontoövertagande i webbportalen och SSRF via inkommande e-post åtgärdade totemomail 9.5.1 åtgärdar åtta säkerhetsbrister och uppdaterar totemomail till den nivå som Kiteworks-advisories för Email Protection Gateway, publicerade i slutet av september, avser. Två brister kan utnyttjas utan inloggning: ett fel i webbportalens lösenordsåterställning som möjliggör övertagande av administratörskonton samt serverbaserade hämtningar av URL:er från inkommande meddelanden. Dessutom åtgärdas Path Traversal-brister i Admin API och Mail API, och Tomcat- och Batik-biblioteken har uppdaterats.
- Artikel · 25 september 2026 Kiteworks: Tillverkaren rekommenderar avstängning den 26 september – vad som hittills är känt Kiteworks uppmanade sina kunder att stänga av alla system lördagen den 26.09.2026 från 04:00 till 10:00. Slutrapport: Under avstängningen hittade och åtgärdade tillverkaren en kritisk sårbarhet utan CVE; den 30.09. följde 125 advisories, däribland CVE-2026-54154 (CVSS 10.0) i Email Protection Gateway. Totemomail påverkas inte.
Tillverkarens beskrivning (engelska)
Kiteworks Email Protection Gateway before version 9.5.0 is vulnerable to Server-Side Request Forgery (SSRF). A server-side request forgery (SSRF) weakness in Kiteworks Email Protection Gateway could allow a remote, unauthenticated attacker to induce the gateway to issue crafted requests to internal or otherwise unintended network destinations. The requests are triggered while the gateway retrieves an issuer certificate in an inbound message. Depending on the services reachable from the gateway, this could disclose sensitive internal information or disrupt gateway operation. Referensdata
- Tillverkare
- Kiteworks
- Berörda produkter
- Email Protection Gateway
- CVSS 3.1
- 9.1 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H- Typ av svaghet
- CWE-918: Server-Side Request Forgery
- Publicerad
- 30 september 2026
