FICHE CVE

CVE-2026-28271

Publiée le 2026-02-27 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les réseaux de données privés Kiteworks antérieurs à la version 9.2.0 sont sensibles à une attaque par DNS rebinding qui contourne les protections contre la falsification de requête côté serveur (SSRF). Un attaquant disposant d'identifiants d'administrateur peut utiliser cette faille pour envoyer des requêtes non autorisées vers des services internes normalement restreints. L'exploitation est relativement facile à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur.

CVSS 3.16.5 MOYENNE

Type de faiblesse

CWE-350 Falsification de requête côté serveur (SSRF) · CWE-918

Publiée2026-02-27

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks configuration functionality allows bypassing of SSRF protections through DNS rebinding attacks. Malicious administrators could exploit this to access internal services that should be restricted. Version 9.2.0 contains a patch for the issue.