Kiteworks Core: Gespeichertes Cross-Site Scripting
Zusammenfassung
Kiteworks Core vor 9.5.0 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS, CWE-79). Ein authentifizierter Benutzer kann Inhalte einreichen, die beim Betrachten durch einen anderen Benutzer beliebiges JavaScript in dessen Sitzung ausführen. Damit können Aktionen im Namen des Opfers durchgeführt werden, und es kann eine Kontoübernahme möglich sein, auch von Benutzern mit höheren Berechtigungen. Für die Ausnutzung muss ein Opfer die vom Angreifer eingereichten Inhalte betrachten.
Betroffen
- Kiteworks Core Versionen vor 9.5.0
Behoben in
- Kiteworks Core 9.5.0 oder neuer
- 9.5.1 ist die aktuelle Version
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers identifiziert; die Behebung erfolgt durch ein Update.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Ein Dritter meldete einen öffentlichen Proof of Concept, dessen Richtigkeit nicht verifiziert werden konnte.
Unsere Empfehlung
- Kiteworks Core prioritär auf 9.5.1 oder neuer aktualisieren.
- Prüfen, welche Konten Inhalte einreichen können, die andere Benutzer betrachten, und Konten auf das Notwendige beschränken.
- Anzahl der Benutzer mit Administratorrechten reduzieren.
- Administratorkonten und letzte Aktivitäten auf unerwartete Änderungen prüfen.
- Exposition der Kiteworks-Instanz überprüfen, insbesondere bei selbst betriebenen Installationen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vr65-9jwc-jgjx github.com
- CISA CSAF VA-26-274-01 raw.githubusercontent.com
- OpenCVE CVE-2026-102100 app.opencve.io
- VulDB CVE-2026-102100 vuldb.com
- HOL Guard CVE-2026-102100 hol.org
- Canadian Centre for Cyber Security advisory AV26-988 www.cyber.gc.ca
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.