CVE-2026-24751
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Kiteworks przed wersją 9.3.0 zawiera odbitą podatność XSS w Secure Data Forms, umożliwiającą zewnętrznemu atakującemu nakłonienie użytkownika do wykonania dowolnego kodu JavaScript. Problem naprawiony w wersji 9.3.0.
Ocena ryzyka
Atakujący może wykraść dane uwierzytelniające lub przejąć sesję użytkownika poprzez wykonanie złośliwego skryptu.
Rekomendacja
Należy zaktualizować Kiteworks do wersji 9.3.0 lub nowszej.
Inne podatności w Kiteworks
Zobacz wszystkie- CVE-2026-24782Wysokie
Wielokrotne podatności SQL Injection w Kiteworks Secure Data Forms. Uwierzytelniony atakujący z rolą FormBuilder może odczytywać i modyfikować definicje formularzy innych użytkowników oraz parametry konfiguracyjne.
- CVE-2026-24761Niskie
W Kiteworks przed wersją 9.3.0 wykryto podatność IDOR (Insecure Direct Object Reference). Uwierzytelniony użytkownik może uzyskać dostęp do metadanych zasobów innych użytkowników z powodu niewystarczającej kontroli uprawnień.
- CVE-2026-24756Średnie
Podatność Insecure Direct Object Reference (IDOR) w Kiteworks Secure Data Forms przed wersją 9.3.0 umożliwia uwierzytelnionemu użytkownikowi modyfikację zasobów należących do innych użytkowników z powodu niewystarczających kontroli autoryzacji.
- CVE-2026-24755Średnie
Kiteworks przed wersją 9.3.0 ma podatność IDOR (Insecure Direct Object Reference) w Secure Data Forms, która pozwala uwierzytelnionemu użytkownikowi na modyfikację uprawnień do zasobów innych użytkowników z powodu niewystarczającej kontroli autoryzacji.
- CVE-2026-24754Średnie
Kiteworks przed wersją 9.3.0 ma podatność na trwały atak XSS w Secure Data Forms, która pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu JavaScript w sesjach innych użytkowników.
- CVE-2026-24753Średnie
Kiteworks (prywatna sieć danych) przed wersją 9.3.0 zawiera podatność IDOR (Insecure Direct Object Reference) w Secure Data Forms, która pozwala uwierzytelnionemu użytkownikowi modyfikować zasoby należące do innych użytkowników z powodu niewystarczających kontroli autoryzacji.
- CVE-2026-24752Wysokie
Podatność Reflected XSS w Kiteworks Secure Data Forms przed wersją 9.3.0. Zewnętrzny atakujący może nakłonić użytkownika do wykonania dowolnego kodu JavaScript poprzez spreparowany link.
- CVE-2026-23638Średnie
Kiteworks przed wersją 9.3.0 zawiera podatność IDOR w Secure Data Forms. Uwierzytelniony atakujący może modyfikować konfiguracje przepływu zatwierdzania formularzy innych użytkowników z powodu niewystarczającej kontroli własności zasobów.
Oryginalny opis (angielski, źródło NVD)
Kiteworks is a private data network (PDN). Prior to version 9.3.0, a reflected XSS vulnerability in Kiteworks Secure Data Forms could allow an external attacker to trick a user into executing arbitrary JavaScript code. Upgrade Kiteworks to version 9.3.0 or later to receive a patch.