CVE-2026-102109

WysokieCVSS 7.1

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Podatność na wstrzyknięcie SQL w Kiteworks Secure Data Forms, gdzie wartość pochodząca z danych konta uwierzytelnionego użytkownika była używana w zapytaniu do bazy danych bez odpowiedniego oczyszczenia. Uwierzytelniony użytkownik mógł wpłynąć na tę wartość, aby wstrzyknąć SQL. Wymaga to uwierzytelnionej sesji i dotyczy tylko wdrożeń z użyciem określonej opcjonalnej funkcji.

Ocena ryzyka

Ryzyko nieautoryzowanego dostępu do danych w bazie danych lub ich modyfikacji przez uwierzytelnionego użytkownika, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Zastosuj poprawki bezpieczeństwa od producenta Kiteworks. Jeśli opcjonalna funkcja nie jest używana, rozważ jej wyłączenie. Ogranicz dostęp do funkcji Secure Data Forms.

Inne podatności w Kiteworks Secure Data Forms

CVE-2026-102091Wysokie
Kiteworks Secure Data Forms w wersjach przed 9.5.0 jest podatny na fałszowanie żądań po stronie serwera (SSRF), co może pozwolić nieuwierzytelnionemu zdalnemu atakującemu na wymuszenie na serwerze dowolnych wychodzących żądań sieciowych i odczytanie odpowiedzi. Może to potencjalnie posłużyć do dotarcia do usług wewnętrznych lub innych zasobów ograniczonych sieciowo.

Oryginalny opis (angielski, źródło NVD)

A SQL injection vulnerability existed in Kiteworks Secure Data Forms, where a value derived from the authenticated user's stored account data was incorporated into a database query without proper sanitization. An authenticated user could potentially influence that value to inject SQL. Exploitation requires an authenticated session and applies only to deployments where a specific optional feature is in use.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS