CVE-2026-102149 Kiteworks Email Protection Gateway Improper Access Control
9.4
Analys på rafaelpfister.ch
- Artikel · 6 november 2026 Kiteworks EPG 9.5.1: Fyra offentligt dokumenterade säkerhetskorrigeringar Kiteworks Email Protection Gateway 9.5.1 åtgärdar fyra offentligt dokumenterade sårbarheter, däribland ett kontoövertagande med CVSS 9.4. Installationer före 9.5.1 bör uppdateras till denna eller en senare version.
- Artikel · 31 oktober 2026 totemomail 9.5.1: Kontoövertagande i webbportalen och SSRF via inkommande e-post åtgärdade totemomail 9.5.1 åtgärdar åtta säkerhetsbrister och uppdaterar totemomail till den nivå som Kiteworks-advisories för Email Protection Gateway, publicerade i slutet av september, avser. Två brister kan utnyttjas utan inloggning: ett fel i webbportalens lösenordsåterställning som möjliggör övertagande av administratörskonton samt serverbaserade hämtningar av URL:er från inkommande meddelanden. Dessutom åtgärdas Path Traversal-brister i Admin API och Mail API, och Tomcat- och Batik-biblioteken har uppdaterats.
- Artikel · 25 september 2026 Kiteworks: Tillverkaren rekommenderar avstängning den 26 september – vad som hittills är känt Kiteworks uppmanade sina kunder att stänga av alla system lördagen den 26.09.2026 från 04:00 till 10:00. Slutrapport: Under avstängningen hittade och åtgärdade tillverkaren en kritisk sårbarhet utan CVE; den 30.09. följde 125 advisories, däribland CVE-2026-54154 (CVSS 10.0) i Email Protection Gateway. Totemomail påverkas inte.
Tillverkarens beskrivning (engelska)
Kiteworks Email Protection Gateway did not sufficiently restrict which account a certificate could be assigned to. This could allow an attacker to associate a certificate with another user's account, affecting the confidentiality and integrity of that account's encrypted mail and, where certificate-based login is enabled, potentially permitting unauthorized access to the account. Referensdata
- Tillverkare
- Kiteworks
- Berörda produkter
- Email Protection Gateway
- CVSS 3.1
- 9.4 (CRITICAL)
- Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Typ av svaghet
- CWE-306: Missing Authentication
- Publicerad
- 30 september 2026
