CVE-2024-28064
KrytyczneStreszczenie
Kiteworks Totemomail w wersjach 7.x i 8.x przed 8.3.0 umożliwia atak typu directory traversal w przypadku operacji odczytu i usuwania plików oraz operacji zapisu. Problem występuje w kontekście niezautoryzowanego dostępu do zasobów przez /responsiveUI/EnvelopeOpenServlet.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych plików oraz możliwość ich usunięcia lub modyfikacji, co może prowadzić do utraty danych lub naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację do wersji 8.3.0 lub nowszej, aby zniwelować ryzyko związane z tą podatnością oraz wdrożenie odpowiednich mechanizmów autoryzacji dla operacji na plikach.
Oryginalny opis (angielski, źródło NVD)
Kiteworks Totemomail 7.x and 8.x before 8.3.0 allows /responsiveUI/EnvelopeOpenServlet messageId directory traversal for unauthenticated file read and delete operations (with displayLoginChunkedImages) and write operations (with storeLoginChunkedImages).