CVE-2024-28064
CriticalSummary
Kiteworks Totemomail w wersjach 7.x i 8.x przed 8.3.0 umożliwia atak typu directory traversal w przypadku operacji odczytu i usuwania plików oraz operacji zapisu. Problem występuje w kontekście niezautoryzowanego dostępu do zasobów przez /responsiveUI/EnvelopeOpenServlet.
Risk Assessment
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych plików oraz możliwość ich usunięcia lub modyfikacji, co może prowadzić do utraty danych lub naruszenia prywatności.
Recommendation
Zaleca się aktualizację do wersji 8.3.0 lub nowszej, aby zniwelować ryzyko związane z tą podatnością oraz wdrożenie odpowiednich mechanizmów autoryzacji dla operacji na plikach.
Original NVD description (English source)
Kiteworks Totemomail 7.x and 8.x before 8.3.0 allows /responsiveUI/EnvelopeOpenServlet messageId directory traversal for unauthenticated file read and delete operations (with displayLoginChunkedImages) and write operations (with storeLoginChunkedImages).