CVE-2026-102091

WysokieCVSS 7.5

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.32%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

Kiteworks Secure Data Forms w wersjach przed 9.5.0 jest podatny na fałszowanie żądań po stronie serwera (SSRF), co może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wymuszenie na serwerze dowolnych wychodzących żądań sieciowych i odczytanie odpowiedzi. Może to potencjalnie posłużyć do dotarcia do usług wewnętrznych lub innych zasobów ograniczonych sieciowo.

Ocena ryzyka

Nieuwierzytelniony atakujący może wykorzystać serwer jako pośrednika do skanowania i dostępu do zasobów wewnętrznych, co może prowadzić do wycieku danych lub dalszej eksploatacji sieci wewnętrznej.

Rekomendacja

Zaktualizuj Kiteworks Secure Data Forms do wersji 9.5.0 lub nowszej oraz ogranicz wychodzący ruch sieciowy z serwera do niezbędnych zasobów.

Inne podatności w Kiteworks Secure Data Forms

CVE-2026-102109Wysokie
Podatność na wstrzyknięcie SQL w Kiteworks Secure Data Forms, gdzie wartość pochodząca z danych konta uwierzytelnionego użytkownika była używana w zapytaniu do bazy danych bez odpowiedniego oczyszczenia. Uwierzytelniony użytkownik mógł wpłynąć na tę wartość, aby wstrzyknąć SQL. Wymaga to uwierzytelnionej sesji i dotyczy tylko wdrożeń z użyciem określonej opcjonalnej funkcji.

Oryginalny opis (angielski, źródło NVD)

Kiteworks Secure Data Forms before version 9.5.0 is vulnerable to Server-Side Request Forgery that could allow an unauthenticated, remote attacker to make the server issue arbitrary outbound network requests and read back the responses. This could potentially be used to reach internal-only services or other network-restricted resources.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS