CVE-2026-49276

W systemie zarządzania treścią Kirby przed wersjami 4.9.1 i 5.4.1 wykryto podatność polegającą na braku filtrowania złośliwych adresów URL w metodach URL dla komponentów KirbyTags i bloków obrazów. Atakujący może wykorzystać formaty URL, takie jak `javascript://x%0A…`, aby ominąć ochronę przed prostymi `javascript:` URL i doprowadzić do wykonania skryptu.

W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 funkcja blokowania treści ujawniała adres e-mail i identyfikator użytkownika bez sprawdzania uprawnień dostępu. Uwierzytelniony użytkownik z niskimi uprawnieniami mógł poznać dane administratorów i innych użytkowników, którzy aktualnie edytowali model.

W Kirby CMS w wersjach od 5.3.0 do 5.4.0 wykryto podatność na path traversal. System nieprawidłowo walidował identyfikator użytkownika, co pozwalało atakującemu na wczytanie dowolnego pliku PHP o nazwie index.php oraz na badanie struktury katalogów serwera.

W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 nie sprawdzano uprawnienia `pages.access` podczas renderowania wersji roboczych stron. Uwierzytelniony atakujący, znający pełną ścieżkę do istniejącej wersji roboczej, mógł uzyskać dostęp do jej podglądu, co prowadziło do ujawnienia poufnych informacji.

Kirby CMS w wersjach przed 4.9.1 i 5.4.1 nie zabezpiecza poprawnie zawartości pola listy podczas zapisu, co umożliwia atak XSS. Atakujący może ominąć panel administracyjny i przesłać złośliwy kod HTML bezpośrednio do API, który zostanie wykonany w przeglądarkach odwiedzających stronę.

Kirby CMS przed wersjami 4.9.1 i 5.4.1 nie waliduje atrybutów modeli używanych w zapytaniach kolekcji, co pozwala atakującym na wywoływanie dowolnych metod modeli. Może to prowadzić do ujawnienia wrażliwych danych (np. hashy haseł, ścieżek systemowych) lub wykonania destrukcyjnych akcji (np. eskalacji uprawnień, masowego usuwania modeli).

W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, gdy opcja content.fileRedirects jest włączona, nieuwierzytelnione żądania do czystych URL-i plików w katalogach wersji roboczych (draft) są przekierowywane do fizycznych adresów URL mediów bez sprawdzania uprawnień dostępu lub tokenów podglądu, co prowadzi do ujawnienia zawartości plików wersji roboczych.

Podatność w systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4 umożliwia atak XSS przez przechowywanie złośliwego znacznika HTML/XML w polach edytora lub listy. Atakujący może wstrzyknąć kod, który nie jest poprawnie sanityzowany przez funkcje Dom::sanitize() i podobne.

Podatność w Kirby CMS pozwala na wstrzyknięcie nagłówka HTTP poprzez znaki nowej linii w wartości nagłówka opcji headers w klasie Http Remote. Atakujący może dodać niechciany nagłówek do żądania wychodzącego.

Podatność w systemie zarządzania treścią Kirby umożliwia uwierzytelnionym użytkownikom z wyłączonym uprawnieniem pages.access potwierdzanie istnienia niedostępnych stron i odczytywanie ich tytułów za pomocą pola pages. Problem został naprawiony w wersjach 4.9.4 i 5.4.4.