CVE-2025-53899
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
Kiteworks MFT przed wersją 9.1.0 zawiera podatność w backendzie polegającą na nieprawidłowo określonym miejscu docelowym w kanale komunikacyjnym, co pozwala atakującemu z uprawnieniami administracyjnymi w pewnych okolicznościach przechwycić komunikację przychodzącą, co może prowadzić do eskalacji uprawnień. Problem został naprawiony w wersji 9.1.0.
Ocena ryzyka
Atakujący z uprawnieniami administracyjnymi może przechwycić komunikację i eskalują uprawnienia, co może prowadzić do nieautoryzowanego dostępu do danych i systemów.
Rekomendacja
Zaktualizuj Kiteworks MFT do wersji 9.1.0 lub nowszej. Ogranicz uprawnienia administracyjne i monitoruj nietypową komunikację sieciową.
Inne podatności w Kiteworks MFT
Zobacz wszystkie- CVE-2025-53900Średnie
Kiteworks MFT orkiestruje przepływy transferu plików end-to-end. Przed wersją 9.1.0 niekorzystna definicja ról i uprawnień w Kiteworks MFT dotycząca zarządzania Connections mogła prowadzić do nieoczekiwanego podniesienia uprawnień dla autoryzowanych użytkowników. Problem został naprawiony w wersji 9.1.0.
- CVE-2025-53897Średnie
Kiteworks MFT przed wersją 9.1.0 umożliwia zewnętrznemu atakującemu dostęp do informacji z logów systemowych poprzez nakłonienie administratora do odwiedzenia specjalnie spreparowanej fałszywej strony Kiteworks MFT. Problem został naprawiony w wersji 9.1.0.
- CVE-2025-53896Wysokie
Kiteworks MFT orkiestruje kompleksowe przepływy pracy związane z transferem plików. Przed wersją 9.1.0, błąd w Kiteworks MFT mógł powodować, że w pewnych okolicznościach aktywna sesja użytkownika nie wygasała prawidłowo z powodu braku aktywności. Problem został naprawiony w wersji 9.1.0.
Oryginalny opis (angielski, źródło NVD)
Kiteworks MFT orchestrates end-to-end file transfer workflows. Prior to version 9.1.0, the back-end of Kiteworks MFT is vulnerable to an incorrectly specified destination in a communication channel which allows an attacker with administrative privileges on the system under certain circumstances to intercept upstream communication which could lead to an escalation of privileges. This issue has been patched in version 9.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS