CVE-2026-28272

High

Published: 27 February 2026

Published

27 February 2026

Modified

04 March 2026

KEV Added

—

Patch

—

CVSS Score 8.1 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N

EPSS Score 0.0001 2.9th percentile

Risk Priority 16 60% EPSS · 20% KEV · 20% CVSS

Summary

CVE-2026-28272 is a high-severity Cross-site Scripting (CWE-79) vulnerability in Accellion Kiteworks. Its CVSS base score is 8.1 (High).

Operationally, exploitation aligns with the MITRE ATT&CK technique Browser Session Hijacking (T1185); ranked at the 2.9th percentile by exploit likelihood (below the median); it is not currently listed in the CISA KEV catalog.

The strongest mitigations our analysis identified are NIST 800-53 SI-10 (Information Input Validation) and SI-15 (Information Output Filtering).

Threat & Defense at a Glance

What attackers do: exploitation maps to Browser Session Hijacking (T1185) and 1 other technique. What defenders deploy: see the NIST 800-53 controls recommended below.

Threat & Defense Details

Mitigating Controls (NIST 800-53 r5)AI

SI-10 Information Input Validation good match

prevent

Information Input Validation directly prevents authenticated administrators from injecting malicious scripts into the configuration interface by validating all inputs for malicious content.

SI-15 Information Output Filtering good match

prevent

Information Output Filtering comprehensively blocks execution of stored malicious scripts when users interact with the affected user interface by encoding or sanitizing outputs.

SI-2 Flaw Remediation good match

prevent

Flaw Remediation ensures timely patching of the stored XSS vulnerability as provided in Kiteworks version 9.2.0, preventing exploitation across affected versions.

MITRE ATT&CK Enterprise TechniquesAI

T1185 Browser Session Hijacking Collection

Adversaries may take advantage of security vulnerabilities and inherent functionality in browser software to change content, modify user-behaviors, and intercept information as part of various browser session hijacking techniques.

attack.mitre.org →

T1539 Steal Web Session Cookie Credential Access

An adversary may steal web application or service session cookies and use them to gain access to web applications or Internet services as an authenticated user without needing credentials.

attack.mitre.org →

Why these techniques?

Stored XSS enables direct injection of scripts into user browsers via the admin config UI, facilitating session hijacking and cookie theft.

Confidence: HIGH · MITRE ATT&CK Enterprise v18.1

NVD Description

Kiteworks is a private data network (PDN). Prior to version 9.2.0, a vulnerability in Kiteworks Email Protection Gateway allows authenticated administrators to inject malicious scripts through a configuration interface. The stored script executes when users interact with the affected user…

interface. Version 9.2.0 contains a patch for the issue.

Deeper analysisAI

CVE-2026-28272 is a stored cross-site scripting (XSS) vulnerability (CWE-79) in the Kiteworks Email Protection Gateway, a component of the Kiteworks private data network (PDN). Affecting versions prior to 9.2.0, it enables authenticated administrators to inject malicious scripts via a configuration interface. The vulnerability has a CVSS v3.1 base score of 8.1 (AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N).

An attacker requires administrator privileges to exploit this over the network with low attack complexity. Exploitation involves injecting a script that is stored and executes in users' browsers when they interact with the affected user interface, requiring user interaction to trigger. Successful exploitation can result in high confidentiality and integrity impacts, such as unauthorized access to sensitive data or manipulation of user sessions, with a changed scope.

Kiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteiteite