Openwave Messaging 公告指出，Webtop Media Transcoder 1.1.22.0 之前版本未落實管理員設定的檔案類型限制，已驗證使用者若繞過 Webmail 介面即可轉換非預期的文件類型；JPCERT/CC 的 JVN 公告則指攻擊者依特定步驟上傳特製檔案可能取得敏感資訊 [1][2]。CISA 於 11 月 10 日將 CVE-2026-111793 列入已知遭利用漏洞目錄，但沒有公開攻擊細節 [3]。使用 Webtop Media Transcoder 的業者應升級至 1.1.22.0 以上，Openwave 建議改用最新受支援的 Media Server 2.0 版本 [1]。
Openwave Webtop Media Transcoder 未套用管理員檔案類型限制，CVE-2026-111793 列入 KEV
閱讀約 1 分鐘
- 揭露
- 2026年10月7日
- 發布
- 2026年11月11日
- 最後更新
- 2026年11月11日
- CVSS 依據
- 本站評估
- EPSS（30 天內遭利用機率）
- 0.3%，高於 20% 的漏洞
- 利用與修補狀態
- 已遭利用KEV已有修補
- 技術 / 系統類型
- 郵件伺服器 / 郵件閘道
- 初始入侵方式
- 漏洞利用
- 攻擊者類型
- 未知
本頁內容
30 秒摘要
受影響範圍
事件時間軸
技術細節
發生什麼
Openwave Messaging 於 2026 年 10 月 7 日揭露 CAN-2026-2032674，指出 Webtop Media Transcoder 未落實管理員為轉檔設定的檔案類型限制，已驗證使用者若繞過 Webmail 介面即可轉換非預期的文件類型，評分為 CVSS 4.3 Medium [1]。JPCERT/CC 於 11 月 9 日透過 JVN 發布此漏洞，編號 CVE-2026-111793，並指已驗證攻擊者依特定步驟上傳特製檔案可能取得敏感資訊 [2]。
遭利用狀況
CISA 於 2026 年 11 月 10 日將此漏洞列入 KEV，要求聯邦機構於 11 月 24 日前處置；目前沒有來源說明攻擊者或受害者 [3]。
修補
修補版本 1.1.22.0 已於 2021 年 12 月 6 日釋出，Openwave 建議客戶升級至最新受支援的 Media Server 2.0 版本 [1]。
修復指引
廠商建議
- 1升級 Webtop Media Transcoder patch[1]
升級至 1.1.22.0 以上，或依 Openwave 建議改用最新受支援的 Media Server 2.0。
參考來源
官方 / 一級來源2
- [1]
“Webtop Media Transcoder does not enforce administrator-defined file type restrictions to restrict the file-types to be converted.”
- [3]
“Openwave Messaging Limited Webtop Media Transcoder contains an incorrect resource transfer between spheres vulnerability that may allow an authenticated user to process and convert unintended document types if bypassing the Webmail experience.”
媒體報導1
- [2]
“Webtop Media Transcoder provided by Openwave Messaging (Ireland) Limited contains an incorrect resource transfer between spheres vulnerability.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。