Openwave Messaging Webtop Media Transcoder
Openwave Messaging Webtop Media Transcoder: limiti sui tipi di file aggirabili, già sfruttata
Il problema, secondo i dati ufficiali
- Il Media Transcoder non applica le restrizioni sui tipi di file definite dall'amministratore per limitare quali file possono essere convertiti.
- Un utente autenticato può così far elaborare e convertire tipi di documento non previsti, se aggira l'interfaccia Webmail.
- Secondo il punteggio ufficiale, la falla è sfruttabile via rete con un account qualsiasi, anche con pochi permessi.
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 10/11/2026.
Cosa fare
- Aggiorna Webtop Media Transcoder alla versione 1.1.22.0 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- Webtop Media Transcoder: prima della 1.1.22.0
Ne parlano
- Threat Actors Exploit Openwave, Cisco BroadWorks Vulnerabilities — SecurityWeek, 11 novembre 2026
Fonti ufficiali
- jvn.jp — avviso del produttore
- nvd.nist.gov — avviso del produttore
- openwave.ai — riferimento
- github.com — riferimento
Descrizione ufficiale (in inglese)
Openwave Webtop Media Transcoder does not enforce administrator-defined file type restrictions to restrict the file-types to be converted. This may allow an authenticated user to process and convert unintended document types if bypassing the Webmail experience.
Non sai se ti riguarda?
Se usi Openwave Messaging Webtop Media Transcoder e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.