CVE-2025-53897
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Kiteworks MFT przed wersją 9.1.0 umożliwia zewnętrznemu atakującemu dostęp do informacji z logów systemowych poprzez nakłonienie administratora do odwiedzenia specjalnie spreparowanej fałszywej strony Kiteworks MFT. Problem został naprawiony w wersji 9.1.0.
Ocena ryzyka
Ujawnienie logów może prowadzić do wycieku wrażliwych informacji, takich jak adresy IP, ścieżki plików czy dane uwierzytelniające, co może ułatwić dalsze ataki.
Rekomendacja
Zaktualizuj Kiteworks MFT do wersji 9.1.0 lub nowszej. Przeszkol administratorów w zakresie rozpoznawania fałszywych stron i phishingu.
Inne podatności w Kiteworks MFT
Zobacz wszystkie- CVE-2025-53900Średnie
Kiteworks MFT orkiestruje przepływy transferu plików end-to-end. Przed wersją 9.1.0 niekorzystna definicja ról i uprawnień w Kiteworks MFT dotycząca zarządzania Connections mogła prowadzić do nieoczekiwanego podniesienia uprawnień dla autoryzowanych użytkowników. Problem został naprawiony w wersji 9.1.0.
- CVE-2025-53899Wysokie
Kiteworks MFT przed wersją 9.1.0 zawiera podatność w backendzie polegającą na nieprawidłowo określonym miejscu docelowym w kanale komunikacyjnym, co pozwala atakującemu z uprawnieniami administracyjnymi w pewnych okolicznościach przechwycić komunikację przychodzącą, co może prowadzić do eskalacji uprawnień. Problem został naprawiony w wersji 9.1.0.
- CVE-2025-53896Wysokie
Kiteworks MFT orkiestruje kompleksowe przepływy pracy związane z transferem plików. Przed wersją 9.1.0, błąd w Kiteworks MFT mógł powodować, że w pewnych okolicznościach aktywna sesja użytkownika nie wygasała prawidłowo z powodu braku aktywności. Problem został naprawiony w wersji 9.1.0.
Oryginalny opis (angielski, źródło NVD)
Kiteworks MFT orchestrates end-to-end file transfer workflows. Prior to version 9.1.0, this vulnerability could allow an external attacker to gain access to log information from the system by tricking an administrator into browsing a specifically crafted fake page of Kiteworks MFT. This issue has been patched in version 9.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS