Kiteworks Core: Gespeichertes Cross-Site-Scripting ermöglicht Rechteausweitung für Administratoren

Zusammenfassung

Kiteworks Core enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS, CWE-79). Ein Administrator, der nur eine einzelne, eng begrenzte delegierte Berechtigung besitzt, kann präparierte Inhalte speichern, die JavaScript in der Sitzung eines System Administrators ausführen, sobald dieser die betroffene Seite aufruft. Dadurch könnte der Angreifer die volle administrative Kontrolle über den Tenant erlangen, einschliesslich der Erstellung eines neuen Administratorkontos. Die Ausnutzung setzt ein authentifiziertes Administratorkonto mit dieser Berechtigung und eine Interaktion eines System Administrators voraus.

Betroffen

• Kiteworks Core vor Version 9.5.1

Behoben in

• Kiteworks Core 9.5.1 oder neuer

Umgehung

• Kein Workaround des Herstellers bekannt. Das Upgrade auf 9.5.1 ist die dokumentierte Massnahme.
• Provisorische Massnahmen (nicht Herstellerempfehlung): delegierte Admin-Berechtigungen auf das Minimum beschränken, kürzlich erstellte oder geänderte Administratorkonten prüfen und den Zugriff auf die Admin-Oberfläche bis zum Abschluss des Upgrades einschränken.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Laut einer Drittquelle nicht im CISA-KEV-Katalog aufgeführt.
• Zum Zeitpunkt der Erfassung wurde kein öffentlicher Proof of Concept gefunden. Unbekannt, ob die Schwachstelle in freier Wildbahn ausgenutzt wird.

Unsere Empfehlung

• Installierte Kiteworks-Core-Version prüfen und auf 9.5.1 oder neuer aktualisieren.
• Administratorkonten und delegierte Berechtigungen prüfen und nach unerwartet neuen Administratorkonten suchen.
• Prüfen, ob die Admin-Oberfläche aus dem Internet erreichbar ist, und den Zugriff gegebenenfalls einschränken.
• Bis zur bestätigten Aktualisierung auf unerwartete Änderungen bei Administratorkonten achten.
• Herstellerhinweis und Ausnutzungsstatus vor der finalen Berichterstattung erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-ccfx-6hq4-fx4g github.com
• CISA CSAF advisory VA-26-274-01 raw.githubusercontent.com
• OpenCVE CVE-2026-102126 app.opencve.io
• Strix.ai CVE-2026-102126 www.strix.ai
• VulDB CVE-2026-102126 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:06.