CVE-2026-54003
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność w systemie zarządzania treścią Kirby umożliwia zdalnemu atakującemu ominięcie kontroli lokalnego adresu IP i zainstalowanie Panelu oraz utworzenie pierwszego konta administratora. Problem występuje w wersjach przed 4.9.4 i 5.4.4, gdy serwer działa za odwrotnym proxy, które ustawia nagłówki Forwarded, X-Client-IP lub X-Real-IP.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego przejęcia kontroli nad systemem Kirby przez zdalnego atakującego, co może prowadzić do pełnej kompromitacji witryny i danych.
Rekomendacja
Należy niezwłocznie zaktualizować Kirby do wersji 4.9.4 lub 5.4.4. W międzyczasie można tymczasowo wyłączyć obsługę nagłówków Forwarded, X-Client-IP i X-Real-IP w konfiguracji odwrotnego proxy.
Oryginalny opis (angielski, źródło NVD)
Kirby is an open-source content management system. Prior to 4.9.4 and from 5.4.4, Kirby sites with no configured user accounts that run on publicly accessible servers behind a reverse proxy setting the Forwarded, X-Client-IP, or X-Real-IP request header could allow remote attackers to install the Panel and create the first admin user because local-IP checks trusted those headers incorrectly. This issue is fixed in versions 4.9.4 and 5.4.4.