CVE-2026-45368
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W systemie zarządzania treścią Kirby przed wersjami 4.9.1 i 5.4.1 wykryto podatność polegającą na braku filtrowania złośliwych adresów URL w metodach URL dla komponentów KirbyTags i bloków obrazów. Atakujący może wykorzystać formaty URL, takie jak `javascript://x%0A…`, aby ominąć ochronę przed prostymi `javascript:` URL i doprowadzić do wykonania skryptu.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wstrzyknięcia złośliwego kodu JavaScript przez edytora, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych ataków typu XSS na użytkowników końcowych.
Rekomendacja
Zaleca się natychmiastową aktualizację Kirby do wersji 4.9.1 lub 5.4.1, które zawierają poprawkę usuwającą tę podatność.
Inne podatności w Kirby CMS
Zobacz wszystkie- CVE-2026-45334Średnie
W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 funkcja blokowania treści ujawniała adres e-mail i identyfikator użytkownika bez sprawdzania uprawnień dostępu. Uwierzytelniony użytkownik z niskimi uprawnieniami mógł poznać dane administratorów i innych użytkowników, którzy aktualnie edytowali model.
- CVE-2026-44177Wysokie
W Kirby CMS w wersjach od 5.3.0 do 5.4.0 wykryto podatność na path traversal. System nieprawidłowo walidował identyfikator użytkownika, co pozwalało atakującemu na wczytanie dowolnego pliku PHP o nazwie index.php oraz na badanie struktury katalogów serwera.
- CVE-2026-44176Średnie
W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 nie sprawdzano uprawnienia `pages.access` podczas renderowania wersji roboczych stron. Uwierzytelniony atakujący, znający pełną ścieżkę do istniejącej wersji roboczej, mógł uzyskać dostęp do jej podglądu, co prowadziło do ujawnienia poufnych informacji.
- CVE-2026-44175Wysokie
Kirby CMS w wersjach przed 4.9.1 i 5.4.1 nie zabezpiecza poprawnie zawartości pola listy podczas zapisu, co umożliwia atak XSS. Atakujący może ominąć panel administracyjny i przesłać złośliwy kod HTML bezpośrednio do API, który zostanie wykonany w przeglądarkach odwiedzających stronę.
- CVE-2026-44174Wysokie
Kirby CMS przed wersjami 4.9.1 i 5.4.1 nie waliduje atrybutów modeli używanych w zapytaniach kolekcji, co pozwala atakującym na wywoływanie dowolnych metod modeli. Może to prowadzić do ujawnienia wrażliwych danych (np. hashy haseł, ścieżek systemowych) lub wykonania destrukcyjnych akcji (np. eskalacji uprawnień, masowego usuwania modeli).
- CVE-2026-54004Średnie
W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, gdy opcja content.fileRedirects jest włączona, nieuwierzytelnione żądania do czystych URL-i plików w katalogach wersji roboczych (draft) są przekierowywane do fizycznych adresów URL mediów bez sprawdzania uprawnień dostępu lub tokenów podglądu, co prowadzi do ujawnienia zawartości plików wersji roboczych.
- CVE-2026-54002Wysokie
Podatność w systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4 umożliwia atak XSS przez przechowywanie złośliwego znacznika HTML/XML w polach edytora lub listy. Atakujący może wstrzyknąć kod, który nie jest poprawnie sanityzowany przez funkcje Dom::sanitize() i podobne.
- CVE-2026-50188Średnie
Podatność w Kirby CMS pozwala na wstrzyknięcie nagłówka HTTP poprzez znaki nowej linii w wartości nagłówka opcji headers w klasie Http Remote. Atakujący może dodać niechciany nagłówek do żądania wychodzącego.
- CVE-2026-49276Wysokie
Podatność w systemie zarządzania treścią Kirby umożliwia wstrzyknięcie skryptowego linku jako celu odnośnika w polu edytora writer, co prowadzi do samozwrotnego cross-site scripting (XSS) w panelu administracyjnym. Problem dotyczy wersji przed 4.9.4 i 5.4.4.
- CVE-2026-49274Średnie
Podatność w systemie zarządzania treścią Kirby umożliwia uwierzytelnionym użytkownikom z wyłączonym uprawnieniem pages.access potwierdzanie istnienia niedostępnych stron i odczytywanie ich tytułów za pomocą pola pages. Problem został naprawiony w wersjach 4.9.4 i 5.4.4.
Oryginalny opis (angielski, źródło NVD)
Kirby is an open-source content management system. In versions prior to 4.9.1 and 5.4.1, the underlying URL methods for the KirbyTags and image blocks components did not filter out malicious URL values that resolve to script execution. The vulnerability affects four first-party Kirby renderers that produce `<a href="…">` output from editor-supplied field values: the (`link: …)` KirbyTag, the `link`: parameter of the `(image: …)` KirbyTag when it does not resolve to a known file or `self`, the `link` field of the built-in image block, and the HTML importer for the `blocks` field (which accepted the same malicious input as the image block `link` field). While simple `avascript:` URLs were already deactivated by treating them as a relative path and prepending a single slash to the URL, the use of URLs of the format `javascript://x%0A…` bypasses this protection. The `vbscript:`, `data:`, `livescript:`, `mocha:` and `jar:` schemes are affected by the same underlying gap. This issue has been fixed in versions 4.9.1 and 5.4.1.