CVE-2026-111793: Openwave Messaging Limited Webtop Media Transcoder Incorrect Resource Transfer Between Spheres Vulnerability

Japan Vulnerability Notes gibt an, dass für CVE-2026-111793 "der Entwickler erklärt, dass Angriffe, die die Sicherheitslücke ausnutzen, beobachtet wurden."[3] Die JVN-Warnung warnt davor, dass "wenn ein authentifizierter Angreifer eine speziell gestaltete Datei durch Befolgung bestimmter Schritte hochlädt, sensible Informationen möglicherweise offengelegt werden können."[3]Nach der auf OpenCVE veröffentlichten CVE-Beschreibung erzwingt Openwave Webtop Media Transcoder keine vom Administrator definierten Dateityp-Einschränkungen, um die zu konvertierenden Dateitypen einzugrenzen.[4] SecurityOnline berichtet, dass Webtop die Webmail-Plattform von Openwave ist, die von Dienstanbietern genutzt wird[5], und dass der Transcoder Anhänge konvertiert, damit Benutzer sie im Browser anzeigen können.[5]Der CVE-Datensatz von ThreatINT listet die Sicherheitslücke als "MEDIUM: 4.3"[6] auf der CVSS-Skala auf, klassifiziert als CWE-669 Incorrect Resource Transfer Between Spheres[6]. SecurityWeek berichtet, dass die CISA die Sicherheitsmängel von Openwave und Cisco am 10. November in ihren Katalog der bekannten ausgebeuteten Sicherheitslücken (KEV) aufgenommen und föderale Behörden aufgefordert hat, beide bis zum 24. November zu patchen.[1]Nach Angaben von Suped waren die Sicherheitsmitteilung von Openwave und die CVE bereits im Oktober öffentlich[2], und ein korrigierter Build war bereits verfügbar.[2]SecurityOnline berichtet, dass die Sicherheitslücke alle Versionen vor 1.1.22.0 betrifft[5], und dass Openwave empfiehlt, auf "die neueste unterstützte Version von Media Server 2.0" zu aktualisieren.[5] Der Bericht fügt hinzu, dass Administratoren Openwave für Details zum Patch kontaktieren sollten, wie JPCERT/CC empfiehlt.[5]