CVE-2025-65012
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W Kirby CMS w wersjach 5.0.0–5.1.3 atakujący może zmienić tytuł strony lub nazwę użytkownika na złośliwy ciąg znaków, a następnie zmodyfikować pole treści tego samego modelu bez zapisu, przez co model trafia do okna „Changes”. Gdy inny zalogowany użytkownik otworzy to okno w Panelu, złośliwy kod zostaje wykonany. Podatność dotyczy witryn Kirby 5, w których atakujący mogą być zalogowanymi użytkownikami Panelu lub które pozwalają zewnętrznym osobom aktualizować tytuły stron lub nazwy użytkowników.
Ocena ryzyka
Możliwe jest wykonanie złośliwego kodu w przeglądarce administratora lub redaktora po interakcji użytkownika, co może prowadzić do przejęcia sesji lub modyfikacji treści. Wymagana jest interakcja innego użytkownika Panelu, więc atak nie jest w pełni zautomatyzowany.
Rekomendacja
Zaktualizuj Kirby do wersji 5.1.4 lub nowszej. Ogranicz możliwość aktualizacji tytułów stron i nazw użytkowników przez niezaufane osoby oraz weryfikuj uprawnienia użytkowników Panelu.
Inne podatności w Kirby CMS
Zobacz wszystkie- CVE-2026-45368Wysokie
W systemie zarządzania treścią Kirby przed wersjami 4.9.1 i 5.4.1 wykryto podatność polegającą na braku filtrowania złośliwych adresów URL w metodach URL dla komponentów KirbyTags i bloków obrazów. Atakujący może wykorzystać formaty URL, takie jak `javascript://x%0A…`, aby ominąć ochronę przed prostymi `javascript:` URL i doprowadzić do wykonania skryptu.
- CVE-2026-45334Średnie
W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 funkcja blokowania treści ujawniała adres e-mail i identyfikator użytkownika bez sprawdzania uprawnień dostępu. Uwierzytelniony użytkownik z niskimi uprawnieniami mógł poznać dane administratorów i innych użytkowników, którzy aktualnie edytowali model.
- CVE-2026-44177Wysokie
W Kirby CMS w wersjach od 5.3.0 do 5.4.0 wykryto podatność na path traversal. System nieprawidłowo walidował identyfikator użytkownika, co pozwalało atakującemu na wczytanie dowolnego pliku PHP o nazwie index.php oraz na badanie struktury katalogów serwera.
- CVE-2026-44176Średnie
W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 nie sprawdzano uprawnienia `pages.access` podczas renderowania wersji roboczych stron. Uwierzytelniony atakujący, znający pełną ścieżkę do istniejącej wersji roboczej, mógł uzyskać dostęp do jej podglądu, co prowadziło do ujawnienia poufnych informacji.
- CVE-2026-44175Wysokie
Kirby CMS w wersjach przed 4.9.1 i 5.4.1 nie zabezpiecza poprawnie zawartości pola listy podczas zapisu, co umożliwia atak XSS. Atakujący może ominąć panel administracyjny i przesłać złośliwy kod HTML bezpośrednio do API, który zostanie wykonany w przeglądarkach odwiedzających stronę.
- CVE-2026-44174Wysokie
Kirby CMS przed wersjami 4.9.1 i 5.4.1 nie waliduje atrybutów modeli używanych w zapytaniach kolekcji, co pozwala atakującym na wywoływanie dowolnych metod modeli. Może to prowadzić do ujawnienia wrażliwych danych (np. hashy haseł, ścieżek systemowych) lub wykonania destrukcyjnych akcji (np. eskalacji uprawnień, masowego usuwania modeli).
- CVE-2026-54004Średnie
W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, gdy opcja content.fileRedirects jest włączona, nieuwierzytelnione żądania do czystych URL-i plików w katalogach wersji roboczych (draft) są przekierowywane do fizycznych adresów URL mediów bez sprawdzania uprawnień dostępu lub tokenów podglądu, co prowadzi do ujawnienia zawartości plików wersji roboczych.
- CVE-2026-54002Wysokie
Podatność w systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4 umożliwia atak XSS przez przechowywanie złośliwego znacznika HTML/XML w polach edytora lub listy. Atakujący może wstrzyknąć kod, który nie jest poprawnie sanityzowany przez funkcje Dom::sanitize() i podobne.
- CVE-2026-50188Średnie
Podatność w Kirby CMS pozwala na wstrzyknięcie nagłówka HTTP poprzez znaki nowej linii w wartości nagłówka opcji headers w klasie Http Remote. Atakujący może dodać niechciany nagłówek do żądania wychodzącego.
- CVE-2026-49276Wysokie
Podatność w systemie zarządzania treścią Kirby umożliwia wstrzyknięcie skryptowego linku jako celu odnośnika w polu edytora writer, co prowadzi do samozwrotnego cross-site scripting (XSS) w panelu administracyjnym. Problem dotyczy wersji przed 4.9.4 i 5.4.4.
Oryginalny opis (angielski, źródło NVD)
Kirby is an open-source content management system. From versions 5.0.0 to 5.1.3, attackers could change the title of any page or the name of any user to a malicious string. Then they could modify any content field of the same model without saving, making the model a candidate for display in the "Changes" dialog. If another authenticated user subsequently opened the dialog in their Panel, the malicious code would be executed. This vulnerability affects all Kirby 5 sites that might have potential attackers in the group of authenticated Panel users or that allow external visitors to update page titles or usernames. The attack requires user interaction by another Panel user and cannot be automated. This issue has been patched in version 5.1.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS