CVE-2026-24756
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność Insecure Direct Object Reference (IDOR) w Kiteworks Secure Data Forms przed wersją 9.3.0 umożliwia uwierzytelnionemu użytkownikowi modyfikację zasobów należących do innych użytkowników z powodu niewystarczających kontroli autoryzacji.
Ocena ryzyka
Atakujący może nieautoryzowanie modyfikować dane innych użytkowników, co prowadzi do naruszenia integralności danych i potencjalnego wycieku informacji.
Rekomendacja
Zaktualizuj Kiteworks do wersji 9.3.0 lub nowszej.
Inne podatności w Kiteworks
Zobacz wszystkie- CVE-2026-24782Wysokie
Wielokrotne podatności SQL Injection w Kiteworks Secure Data Forms. Uwierzytelniony atakujący z rolą FormBuilder może odczytywać i modyfikować definicje formularzy innych użytkowników oraz parametry konfiguracyjne.
- CVE-2026-24761Niskie
W Kiteworks przed wersją 9.3.0 wykryto podatność IDOR (Insecure Direct Object Reference). Uwierzytelniony użytkownik może uzyskać dostęp do metadanych zasobów innych użytkowników z powodu niewystarczającej kontroli uprawnień.
- CVE-2026-24755Średnie
Kiteworks przed wersją 9.3.0 ma podatność IDOR (Insecure Direct Object Reference) w Secure Data Forms, która pozwala uwierzytelnionemu użytkownikowi na modyfikację uprawnień do zasobów innych użytkowników z powodu niewystarczającej kontroli autoryzacji.
- CVE-2026-24754Średnie
Kiteworks przed wersją 9.3.0 ma podatność na trwały atak XSS w Secure Data Forms, która pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu JavaScript w sesjach innych użytkowników.
- CVE-2026-24753Średnie
Kiteworks (prywatna sieć danych) przed wersją 9.3.0 zawiera podatność IDOR (Insecure Direct Object Reference) w Secure Data Forms, która pozwala uwierzytelnionemu użytkownikowi modyfikować zasoby należące do innych użytkowników z powodu niewystarczających kontroli autoryzacji.
- CVE-2026-24752Wysokie
Podatność Reflected XSS w Kiteworks Secure Data Forms przed wersją 9.3.0. Zewnętrzny atakujący może nakłonić użytkownika do wykonania dowolnego kodu JavaScript poprzez spreparowany link.
- CVE-2026-24751Wysokie
Kiteworks przed wersją 9.3.0 zawiera odbitą podatność XSS w Secure Data Forms, umożliwiającą zewnętrznemu atakującemu nakłonienie użytkownika do wykonania dowolnego kodu JavaScript. Problem naprawiony w wersji 9.3.0.
- CVE-2026-23638Średnie
Kiteworks przed wersją 9.3.0 zawiera podatność IDOR w Secure Data Forms. Uwierzytelniony atakujący może modyfikować konfiguracje przepływu zatwierdzania formularzy innych użytkowników z powodu niewystarczającej kontroli własności zasobów.
Oryginalny opis (angielski, źródło NVD)
Kiteworks is a private data network (PDN). Prior to version 9.3.0, an Insecure Direct Object Reference (IDOR) vulnerability in Kiteworks Secure Data Forms allows an authenticated user to modify resources belonging to other users due to insufficient authorization checks on resource ownership. Upgrade Kiteworks to version 9.3.0 or later to receive a patch.