CVE-2026-102115
CRITICAL(9.8)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS 9.8 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
1.0%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
9.8
Technische Schwere
SecBoard-Einordnung
CVE-2026-102115 betrifft Accellion Kiteworks Core und ist eine kritische Schwachstelle im Passwort-Reset-Workflow. Ein nicht authentifizierter Angreifer kann durch fehlerhafte Parametervalidierung das Passwort eines Benutzers zurücksetzen, wenn die E-Mail-Adresse bekannt ist und das Passwort lokal gespeichert ist. Dies ermöglicht die Übernahme des Kontos, auch bei administrativen Berechtigungen, ohne Zugriff auf den Reset-Link. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet, was auf ein extrem hohes Risiko hinweist. Obwohl die EPSS-Wahrscheinlichkeit für eine Ausnutzung derzeit bei niedrigen 1% liegt und die Schwachstelle nicht in CISA KEV gelistet ist, sollte die potenzielle Auswirkung einer Kontoübernahme, insbesondere bei Admin-Konten, nicht unterschätzt werden. Security-Teams sollten umgehend prüfen, ob Accellion Kiteworks Core in ihrer Umgebung eingesetzt wird. Eine schnelle Implementierung verfügbarer Patches oder Workarounds ist dringend erforderlich, um das Risiko einer unautorisierten Kontoübernahme zu minimindern. Zudem sollte die Überwachung von Authentifizierungs- und Passwort-Reset-Vorgängen verstärkt werden.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
Kiteworks Core did not correctly validate a parameter submitted to the password reset workflow. An unauthenticated attacker who knew the email address of a user with a locally stored password could potentially reset that account's password without access to the emailed reset link and then authenticate as that user, including where the account holds administrative privileges.
Betroffene Produkte
- cpe:2.3:a:accellion:kiteworks:*:*:*:*:*:*:*:*