CVE-2026-24782
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Wielokrotne podatności SQL Injection w Kiteworks Secure Data Forms. Uwierzytelniony atakujący z rolą FormBuilder może odczytywać i modyfikować definicje formularzy innych użytkowników oraz parametry konfiguracyjne.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do danych i zmienić globalną konfigurację, co zagraża bezpieczeństwu całego systemu.
Rekomendacja
Zaktualizuj Kiteworks do wersji 9.3.0 lub nowszej.
Inne podatności w Kiteworks
Zobacz wszystkie- CVE-2026-24761Niskie
W Kiteworks przed wersją 9.3.0 wykryto podatność IDOR (Insecure Direct Object Reference). Uwierzytelniony użytkownik może uzyskać dostęp do metadanych zasobów innych użytkowników z powodu niewystarczającej kontroli uprawnień.
- CVE-2026-24756Średnie
Podatność Insecure Direct Object Reference (IDOR) w Kiteworks Secure Data Forms przed wersją 9.3.0 umożliwia uwierzytelnionemu użytkownikowi modyfikację zasobów należących do innych użytkowników z powodu niewystarczających kontroli autoryzacji.
- CVE-2026-24755Średnie
Kiteworks przed wersją 9.3.0 ma podatność IDOR (Insecure Direct Object Reference) w Secure Data Forms, która pozwala uwierzytelnionemu użytkownikowi na modyfikację uprawnień do zasobów innych użytkowników z powodu niewystarczającej kontroli autoryzacji.
- CVE-2026-24754Średnie
Kiteworks przed wersją 9.3.0 ma podatność na trwały atak XSS w Secure Data Forms, która pozwala uwierzytelnionemu atakującemu na wykonanie dowolnego kodu JavaScript w sesjach innych użytkowników.
- CVE-2026-24753Średnie
Kiteworks (prywatna sieć danych) przed wersją 9.3.0 zawiera podatność IDOR (Insecure Direct Object Reference) w Secure Data Forms, która pozwala uwierzytelnionemu użytkownikowi modyfikować zasoby należące do innych użytkowników z powodu niewystarczających kontroli autoryzacji.
- CVE-2026-24752Wysokie
Podatność Reflected XSS w Kiteworks Secure Data Forms przed wersją 9.3.0. Zewnętrzny atakujący może nakłonić użytkownika do wykonania dowolnego kodu JavaScript poprzez spreparowany link.
- CVE-2026-24751Wysokie
Kiteworks przed wersją 9.3.0 zawiera odbitą podatność XSS w Secure Data Forms, umożliwiającą zewnętrznemu atakującemu nakłonienie użytkownika do wykonania dowolnego kodu JavaScript. Problem naprawiony w wersji 9.3.0.
- CVE-2026-23638Średnie
Kiteworks przed wersją 9.3.0 zawiera podatność IDOR w Secure Data Forms. Uwierzytelniony atakujący może modyfikować konfiguracje przepływu zatwierdzania formularzy innych użytkowników z powodu niewystarczającej kontroli własności zasobów.
Oryginalny opis (angielski, źródło NVD)
Kiteworks is a private data network (PDN). Prior to version 9.3.0,ultiple SQL Injection vulnerabilities in Kiteworks Secure Data Forms could be exploited by an authenticated attacker with the FormBuilder role to retrieve information on or modify other users' form definitions and some global configuration parameters. Upgrade Kiteworks to version 9.3.0 or later to receive a patch.