CVE-2026-54005
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, użytkownicy z wyłączonym uprawnieniem pages.access mogli odczytywać pełną treść i metadane dowolnych opublikowanych stron poprzez endpoint /api/site/find, znając ich identyfikatory lub UUID. Podatność umożliwiała nieautoryzowany dostęp do stron, które powinny być chronione.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych, w tym pełnej treści stron i metadanych, do uwierzytelnionych użytkowników bez odpowiednich uprawnień. Może to prowadzić do naruszenia polityk dostępu i ujawnienia wrażliwych informacji.
Rekomendacja
Należy niezwłocznie zaktualizować Kirby do wersji 4.9.4 lub 5.4.4, które zawierają poprawkę eliminującą tę podatność. Po aktualizacji zaleca się weryfikację konfiguracji uprawnień dostępu do stron.
Inne podatności w Kirby
Zobacz wszystkie- CVE-2026-54003Krytyczne
Podatność w systemie zarządzania treścią Kirby umożliwia zdalnemu atakującemu ominięcie kontroli lokalnego adresu IP i zainstalowanie Panelu oraz utworzenie pierwszego konta administratora. Problem występuje w wersjach przed 4.9.4 i 5.4.4, gdy serwer działa za odwrotnym proxy, które ustawia nagłówki Forwarded, X-Client-IP lub X-Real-IP.
- CVE-2026-69127Średnie
Podatność w systemie zarządzania treścią Kirby przed wersją 4.9.5 oraz w wersjach od 5.0.0 do 5.5.1 powoduje, że procedura obsługi błędów REST API może zwracać nieprzefiltrowane komunikaty błędów PHP, ujawniając pełną ścieżkę systemu plików instalacji Kirby nieuwierzytelnionym użytkownikom API. Problem dotyczy wszystkich witryn, które nie wyłączyły REST API opcją 'api' => false. Problem został naprawiony w wersjach 4.9.5 i 5.5.2.
- CVE-2026-42137Średnie
W Kirby (system zarządzania treścią) w wersjach przed 4.9.0 i 5.4.0, uprawnienia `pages.access/list` i `files.access/list` nie są konsekwentnie sprawdzane w Panelu i REST API.
- CVE-2026-42069Średnie
Kirby przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień przy odczycie informacji o witrynie, użytkownikach i rolach, co pozwala nieautoryzowanym użytkownikom na dostęp do tych danych.
- CVE-2026-42051Średnie
Kirby to system zarządzania treścią open-source. Przed wersjami 4.9.0 i 5.4.0 punkt końcowy API systemu ujawniał dane licencji i zainstalowaną wersję uwierzytelnionym użytkownikom. Problem został naprawiony w wersjach 4.9.0 i 5.4.0.
- CVE-2018-14519Średnie
W Kirby 2.5.12 wykryto podatność CSRF w funkcji usuwania stron. Zdalny atakujący może stworzyć złośliwą stronę CSRF i zmusić użytkownika do usunięcia strony.
Oryginalny opis (angielski, źródło NVD)
Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites where a role has the pages.access permission disabled allowed authenticated users who know or guess page IDs or UUIDs to retrieve page information, including full content and metadata, for arbitrary published pages through the /api/site/find route without authorization to access those pages. This issue is fixed in versions 4.9.4 and 5.4.4.