CVE-2026-42174

ŚrednieCVSS 4.3

Opublikowano: 09/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Kirby CMS przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień użytkownika przy tworzeniu, zastępowaniu i usuwaniu awatarów. Każdy użytkownik może modyfikować awatary innych, nawet bez odpowiednich uprawnień.

Ocena ryzyka

Użytkownicy mogą podmieniać awatary innych, co może prowadzić do defacementu profilu lub wprowadzenia w błąd.

Rekomendacja

Zaktualizuj Kirby do wersji 4.9.0 lub 5.4.0, w których dodano kontrolę uprawnień dla operacji na awatarach.

Oryginalny opis (angielski, źródło NVD)

Kirby is an open-source content management system. Prior to versions 4.9.0 and 5.4.0, user avatar creation, replacement and deletion are not gated by user update permissions. This issue has been patched in versions 4.9.0 and 5.4.0.