CVE-2026-102110
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Endpoint używany podczas początkowej konfiguracji urządzenia nie wymagał uwierzytelnienia i nie egzekwował poprawnie warunku stanu, więc w oknie początkowej aktywacji nieuwierzytelniony atakujący z sieci mógł wielokrotnie wywoływać uprzywilejowany proces aktywacji. To mogło zakłócić konfigurację i pozostawić urządzenie w niekompletnie skonfigurowanym stanie. Problem jest osiągalny tylko podczas pierwszej aktywacji urządzenia, gdy nie jest jeszcze w pełni skonfigurowane.
Ocena ryzyka
Ryzyko zakłócenia wdrożenia: atakujący może przerwać proces aktywacji, co może opóźnić wdrożenie lub pozostawić system w niestabilnym stanie.
Rekomendacja
Upewnij się, że proces aktywacji odbywa się w izolowanej sieci, a po zakończeniu konfiguracji natychmiast włącz uwierzytelnianie na wszystkich endpointach.
Inne podatności w Kiteworks
Zobacz wszystkie- CVE-2026-102143Wysokie
Nieuwierzytelniony atakujący mógł spowodować zapisanie pliku o treści kontrolowanej przez atakującego w systemie plików urządzenia przez moduł obsługi przesyłania administracyjnego, który nie uwierzytelniał prawidłowo żądania. To samo w sobie nie prowadziło do wykonania kodu, co wymagałoby osobnej podatności umożliwiającej umieszczenie pliku w lokalizacji wykonywalnej.
- CVE-2026-102142Wysokie
Szablon powiadomień systemowych na urządzeniu Kiteworks był renderowany przez silnik szablonów, który ewaluował wyrażenia zawarte w treści przechowywanego szablonu. Uwierzytelniony Administrator Systemowy mógł potencjalnie zapisać spreparowany szablon, który wykonywał polecenia systemu operacyjnego na urządzeniu przy następnym wysłaniu powiadomienia.
- CVE-2026-102137Średnie
Uwierzytelniony administrator może obejść walidację treści stosowaną przy przesyłaniu plików administracyjnych i zapisać na urządzeniu plik zawierający niebezpieczną treść. Sama ta podatność nie prowadzi do wykonania kodu — do uruchomienia zapisanego pliku potrzebna jest osobna luka.
- CVE-2026-102136Średnie
W środowiskach wielowęzłowych atakujący, który uzyskał już wykonanie kodu na jednym węźle urządzenia, może przesłać przez wewnętrzny interfejs klastra wartość zapisywaną do konfiguracji monitoringu na innym węźle bez wystarczającej walidacji, co potencjalnie pozwala na wykonanie poleceń systemowych na tym węźle. Wykonanie ograniczone jest do nieuprzywilejowanego konta usługi na tym węźle.
- CVE-2026-102125Wysokie
Piaskownica izolująca konwersję dokumentów na urządzeniu Kiteworks nie w pełni ograniczała wykonywany kod, co mogło pozwolić na ucieczkę z piaskownicy i działanie z uprawnieniami konta usługowego. Atakujący mógł odczytać lub zmodyfikować dane i konfigurację aplikacji lub zakłócić działanie usługi.
- CVE-2026-102124Średnie
Interfejs konfiguracji urządzenia Kiteworks nie wymuszał uwierzytelniania po zakończeniu wstępnej konfiguracji urządzenia. Nieuwierzytelniony atakujący z dostępem sieciowym do urządzenia mógł odczytać i zmodyfikować ograniczony zestaw rekordów konfiguracyjnych, w tym nazwę kontaktu i adres e-mail zapisane podczas wstępnej konfiguracji.
- CVE-2026-102123Wysokie
Interfejs konfiguracji urządzenia Kiteworks nie ograniczał ścieżki pliku do zamierzonego katalogu, co mogło pozwolić nieuwierzytelnionemu atakującemu na zapis pliku w dowolnym miejscu zapisywalnym przez konto usługowe. Wykorzystanie wymaga dostępu sieciowego do interfejsu, który w domyślnej konfiguracji nie jest osiągalny po pełnym skonfigurowaniu urządzenia.
- CVE-2026-102122Średnie
Kiteworks nie egzekwował poprawnie, jakie role menedżer folderu współdzielonego może przypisywać. W domyślnej konfiguracji uwierzytelniony użytkownik z rolą Menedżera folderu mógł nadać rolę Właściciela sobie lub innym członkom tego folderu.
- CVE-2026-102120Wysokie
Podatność na eskalację uprawnień w Kiteworks mogła pozwolić atakującemu z wykonaniem kodu na jednym węźle klastra na uruchamianie poleceń systemu operacyjnego z podwyższonymi uprawnieniami na innym węźle. Niewystarczająca walidacja danych w wewnętrznej funkcji zarządzania klastrem umożliwiła przekazanie wartości do uprzywilejowanego kontekstu wykonania.
- CVE-2026-102119Wysokie
Podatność na przechodzenie po ścieżkach w opcjonalnej, niedomyślnej funkcji administracyjnej umożliwiała uwierzytelnionemu administratorowi przenoszenie plików do nieprzewidzianych lokalizacji poza wyznaczonym katalogiem. Może to zostać wykorzystane do wykonania dowolnego kodu na systemie.
Oryginalny opis (angielski, źródło NVD)
An endpoint used during initial appliance setup did not require authentication and did not correctly enforce its intended state precondition, so during the initial activation window an unauthenticated network attacker could repeatedly re-trigger the privileged activation process. This could disrupt setup and leave the appliance in an incompletely configured state. The issue is only reachable while an appliance is being activated for the first time and not yet fully configured.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS