CVE-2026-42051

Podatność w systemie zarządzania treścią Kirby umożliwia zdalnemu atakującemu ominięcie kontroli lokalnego adresu IP i zainstalowanie Panelu oraz utworzenie pierwszego konta administratora. Problem występuje w wersjach przed 4.9.4 i 5.4.4, gdy serwer działa za odwrotnym proxy, które ustawia nagłówki Forwarded, X-Client-IP lub X-Real-IP.

Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów w src/Cms/Media.php pozwalała metodzie Media::thumb() na dołączanie nazwy pliku zawierającej ścieżkę do zwalidowanego katalogu mediów. Na serwerach nginx, wbudowanym serwerze PHP lub Apache z włączonym AllowEncodedSlashes, zdalny atakujący mógł przesłać zakodowane znaki slash (np. %2f) w nazwie pliku i wyjść poza katalog mediów. Różnice w odpowiedziach dla istniejących i nieistniejących konfiguracji miniatur ujawniały istnienie dowolnego pliku .json, a plik .json z prawidłowym kluczem nazwy pliku mógł spowodować zwrócenie wskazanego obrazu i usunięcie pliku zadania. Powiązana ścieżka file::version w src/Filesystem/Asset.php również akceptowała sekwencje ../ poza zamierzonym katalogiem głównym. Problem naprawiono w wersjach 4.9.5 i 5.5.2.

Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów używała niekompletnych kontroli containment w systemie plików, co pozwalało na dostęp do plików w katalogach sąsiednich, jeśli ścieżka miała wspólny prefiks. Zdalny atakujący mógł tworzyć i uzyskiwać dostęp do miniatur z plików obrazów w sąsiednim katalogu, potencjalnie ujawniając staging, kopie zapasowe lub inne wewnętrzne strony.

Kirby to system zarządzania treścią. Od wersji 5.0.0 do 5.5.2, procedura obsługi przesyłania fragmentów w API REST w src/Api/Upload.php nie uruchamiała odpowiedniej autoryzacji przed zapisaniem danych fragmentu w Kirby\Api\Upload::processChunk(). Uwierzytelniony użytkownik z włączonym uprawnieniem access.panel, ale z wyłączonymi uprawnieniami files.create, files.replace i user/users.update, mógł wysyłać żądania z nagłówkiem Upload-Length i pozostawiać niedokończone fragmenty w site/cache/.uploads przez 24 godziny. Powtarzanie tego procesu mogło zużywać kontrolowaną przez atakującego pamięć tymczasową, uniemożliwiać innym użytkownikom przesyłanie plików lub uniemożliwiać logice witryny przechowywanie danych, chociaż końcowe kontrole uprawnień nadal uniemożliwiały nieautoryzowanym plikom dotarcie do katalogów content lub site/accounts. Problem naprawiono w wersji 5.5.2.

Podatność w systemie zarządzania treścią Kirby przed wersją 4.9.5 oraz w wersjach od 5.0.0 do 5.5.1 powoduje, że procedura obsługi błędów REST API może zwracać nieprzefiltrowane komunikaty błędów PHP, ujawniając pełną ścieżkę systemu plików instalacji Kirby nieuwierzytelnionym użytkownikom API. Problem dotyczy wszystkich witryn, które nie wyłączyły REST API opcją 'api' => false. Problem został naprawiony w wersjach 4.9.5 i 5.5.2.

W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, użytkownicy z wyłączonym uprawnieniem pages.access mogli odczytywać pełną treść i metadane dowolnych opublikowanych stron poprzez endpoint /api/site/find, znając ich identyfikatory lub UUID. Podatność umożliwiała nieautoryzowany dostęp do stron, które powinny być chronione.

W Kirby (system zarządzania treścią) w wersjach przed 4.9.0 i 5.4.0, uprawnienia `pages.access/list` i `files.access/list` nie są konsekwentnie sprawdzane w Panelu i REST API.

Kirby przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień przy odczycie informacji o witrynie, użytkownikach i rolach, co pozwala nieautoryzowanym użytkownikom na dostęp do tych danych.

W Kirby 2.5.12 wykryto podatność CSRF w funkcji usuwania stron. Zdalny atakujący może stworzyć złośliwą stronę CSRF i zmusić użytkownika do usunięcia strony.