CVE-2026-44176
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 nie sprawdzano uprawnienia `pages.access` podczas renderowania wersji roboczych stron. Uwierzytelniony atakujący, znający pełną ścieżkę do istniejącej wersji roboczej, mógł uzyskać dostęp do jej podglądu, co prowadziło do ujawnienia poufnych informacji.
Ocena ryzyka
Ryzyko polega na możliwości ujawnienia niepublicznych treści, takich jak nowe produkty czy wpisy, przed ich planowaną publikacją, co może naruszyć poufność danych i strategię komunikacji organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować Kirby do wersji 4.9.1 lub 5.4.1, które zawierają poprawkę usuwającą tę podatność.
Inne podatności w Kirby CMS
Zobacz wszystkie- CVE-2026-45368Wysokie
W systemie zarządzania treścią Kirby przed wersjami 4.9.1 i 5.4.1 wykryto podatność polegającą na braku filtrowania złośliwych adresów URL w metodach URL dla komponentów KirbyTags i bloków obrazów. Atakujący może wykorzystać formaty URL, takie jak `javascript://x%0A…`, aby ominąć ochronę przed prostymi `javascript:` URL i doprowadzić do wykonania skryptu.
- CVE-2026-45334Średnie
W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 funkcja blokowania treści ujawniała adres e-mail i identyfikator użytkownika bez sprawdzania uprawnień dostępu. Uwierzytelniony użytkownik z niskimi uprawnieniami mógł poznać dane administratorów i innych użytkowników, którzy aktualnie edytowali model.
- CVE-2026-44177Wysokie
W Kirby CMS w wersjach od 5.3.0 do 5.4.0 wykryto podatność na path traversal. System nieprawidłowo walidował identyfikator użytkownika, co pozwalało atakującemu na wczytanie dowolnego pliku PHP o nazwie index.php oraz na badanie struktury katalogów serwera.
- CVE-2026-44175Wysokie
Kirby CMS w wersjach przed 4.9.1 i 5.4.1 nie zabezpiecza poprawnie zawartości pola listy podczas zapisu, co umożliwia atak XSS. Atakujący może ominąć panel administracyjny i przesłać złośliwy kod HTML bezpośrednio do API, który zostanie wykonany w przeglądarkach odwiedzających stronę.
- CVE-2026-44174Wysokie
Kirby CMS przed wersjami 4.9.1 i 5.4.1 nie waliduje atrybutów modeli używanych w zapytaniach kolekcji, co pozwala atakującym na wywoływanie dowolnych metod modeli. Może to prowadzić do ujawnienia wrażliwych danych (np. hashy haseł, ścieżek systemowych) lub wykonania destrukcyjnych akcji (np. eskalacji uprawnień, masowego usuwania modeli).
- CVE-2026-54004Średnie
W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, gdy opcja content.fileRedirects jest włączona, nieuwierzytelnione żądania do czystych URL-i plików w katalogach wersji roboczych (draft) są przekierowywane do fizycznych adresów URL mediów bez sprawdzania uprawnień dostępu lub tokenów podglądu, co prowadzi do ujawnienia zawartości plików wersji roboczych.
- CVE-2026-54002Wysokie
Podatność w systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4 umożliwia atak XSS przez przechowywanie złośliwego znacznika HTML/XML w polach edytora lub listy. Atakujący może wstrzyknąć kod, który nie jest poprawnie sanityzowany przez funkcje Dom::sanitize() i podobne.
- CVE-2026-50188Średnie
Podatność w Kirby CMS pozwala na wstrzyknięcie nagłówka HTTP poprzez znaki nowej linii w wartości nagłówka opcji headers w klasie Http Remote. Atakujący może dodać niechciany nagłówek do żądania wychodzącego.
- CVE-2026-49276Wysokie
Podatność w systemie zarządzania treścią Kirby umożliwia wstrzyknięcie skryptowego linku jako celu odnośnika w polu edytora writer, co prowadzi do samozwrotnego cross-site scripting (XSS) w panelu administracyjnym. Problem dotyczy wersji przed 4.9.4 i 5.4.4.
- CVE-2026-49274Średnie
Podatność w systemie zarządzania treścią Kirby umożliwia uwierzytelnionym użytkownikom z wyłączonym uprawnieniem pages.access potwierdzanie istnienia niedostępnych stron i odczytywanie ich tytułów za pomocą pola pages. Problem został naprawiony w wersjach 4.9.4 i 5.4.4.
Oryginalny opis (angielski, źródło NVD)
Kirby is an open-source content management system. Versions prior to 4.9.1 and 5.4.1 do not check the `pages.access` permission during page draft rendering. Permissions are defined for each user role in the user blueprint (site/blueprints/users/...). It is also possible to customize the permissions for each target model in the model blueprints (such as in site/blueprints/pages/...) using the options feature. The permissions and options together control the authorization of user actions. Kirby provides the pages.access and pages.list permissions (among others). The list permission controls whether affected models appear in lists throughout the Panel and REST API. The access permission has the same effect but also disables direct access to the affected models. This vulnerability affects the path resolver for the main CMS router. The resolver takes an input path from the requested URL and determines which model (page or file) should be rendered. When a path is requested that points to a page draft, the resolver checks that the request either contains a valid preview token or is authenticated by a valid user. In affected releases, Kirby allowed page drafts to be rendered if any valid user was authenticated, even if that user did not have access to the specific page model. Authenticated attackers with knowledge of the full path to an existing page draft could then access the rendered frontend page. This could lead to the disclosure of sensitive information, e.g. ahead of the launch of a new product or post. This issue has been fixed in versions 4.9.1 and 5.4.1.