CVE-2026-71415
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Kirby to system zarządzania treścią. Od wersji 5.0.0 do 5.5.2, procedura obsługi przesyłania fragmentów w API REST w src/Api/Upload.php nie uruchamiała odpowiedniej autoryzacji przed zapisaniem danych fragmentu w Kirby\Api\Upload::processChunk(). Uwierzytelniony użytkownik z włączonym uprawnieniem access.panel, ale z wyłączonymi uprawnieniami files.create, files.replace i user/users.update, mógł wysyłać żądania z nagłówkiem Upload-Length i pozostawiać niedokończone fragmenty w site/cache/.uploads przez 24 godziny. Powtarzanie tego procesu mogło zużywać kontrolowaną przez atakującego pamięć tymczasową, uniemożliwiać innym użytkownikom przesyłanie plików lub uniemożliwiać logice witryny przechowywanie danych, chociaż końcowe kontrole uprawnień nadal uniemożliwiały nieautoryzowanym plikom dotarcie do katalogów content lub site/accounts. Problem naprawiono w wersji 5.5.2.
Ocena ryzyka
Uwierzytelniony użytkownik może spowodować niedostępność usługi (DoS) poprzez wypełnienie pamięci tymczasowej lub zablokowanie przesyłania plików innym użytkownikom.
Rekomendacja
Zaktualizuj Kirby do wersji 5.5.2 lub nowszej.
Inne podatności w Kirby
Zobacz wszystkie- CVE-2026-54003Krytyczne
Podatność w systemie zarządzania treścią Kirby umożliwia zdalnemu atakującemu ominięcie kontroli lokalnego adresu IP i zainstalowanie Panelu oraz utworzenie pierwszego konta administratora. Problem występuje w wersjach przed 4.9.4 i 5.4.4, gdy serwer działa za odwrotnym proxy, które ustawia nagłówki Forwarded, X-Client-IP lub X-Real-IP.
- CVE-2026-75594Wysokie
Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów w src/Cms/Media.php pozwalała metodzie Media::thumb() na dołączanie nazwy pliku zawierającej ścieżkę do zwalidowanego katalogu mediów. Na serwerach nginx, wbudowanym serwerze PHP lub Apache z włączonym AllowEncodedSlashes, zdalny atakujący mógł przesłać zakodowane znaki slash (np. %2f) w nazwie pliku i wyjść poza katalog mediów. Różnice w odpowiedziach dla istniejących i nieistniejących konfiguracji miniatur ujawniały istnienie dowolnego pliku .json, a plik .json z prawidłowym kluczem nazwy pliku mógł spowodować zwrócenie wskazanego obrazu i usunięcie pliku zadania. Powiązana ścieżka file::version w src/Filesystem/Asset.php również akceptowała sekwencje ../ poza zamierzonym katalogiem głównym. Problem naprawiono w wersjach 4.9.5 i 5.5.2.
- CVE-2026-75592Średnie
Kirby to system zarządzania treścią. Przed wersjami 4.9.5 i 5.5.2, obsługa mediów używała niekompletnych kontroli containment w systemie plików, co pozwalało na dostęp do plików w katalogach sąsiednich, jeśli ścieżka miała wspólny prefiks. Zdalny atakujący mógł tworzyć i uzyskiwać dostęp do miniatur z plików obrazów w sąsiednim katalogu, potencjalnie ujawniając staging, kopie zapasowe lub inne wewnętrzne strony.
- CVE-2026-69127Średnie
Podatność w systemie zarządzania treścią Kirby przed wersją 4.9.5 oraz w wersjach od 5.0.0 do 5.5.1 powoduje, że procedura obsługi błędów REST API może zwracać nieprzefiltrowane komunikaty błędów PHP, ujawniając pełną ścieżkę systemu plików instalacji Kirby nieuwierzytelnionym użytkownikom API. Problem dotyczy wszystkich witryn, które nie wyłączyły REST API opcją 'api' => false. Problem został naprawiony w wersjach 4.9.5 i 5.5.2.
- CVE-2026-54005Wysokie
W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, użytkownicy z wyłączonym uprawnieniem pages.access mogli odczytywać pełną treść i metadane dowolnych opublikowanych stron poprzez endpoint /api/site/find, znając ich identyfikatory lub UUID. Podatność umożliwiała nieautoryzowany dostęp do stron, które powinny być chronione.
- CVE-2026-42137Średnie
W Kirby (system zarządzania treścią) w wersjach przed 4.9.0 i 5.4.0, uprawnienia `pages.access/list` i `files.access/list` nie są konsekwentnie sprawdzane w Panelu i REST API.
- CVE-2026-42069Średnie
Kirby przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień przy odczycie informacji o witrynie, użytkownikach i rolach, co pozwala nieautoryzowanym użytkownikom na dostęp do tych danych.
- CVE-2026-42051Średnie
Kirby to system zarządzania treścią open-source. Przed wersjami 4.9.0 i 5.4.0 punkt końcowy API systemu ujawniał dane licencji i zainstalowaną wersję uwierzytelnionym użytkownikom. Problem został naprawiony w wersjach 4.9.0 i 5.4.0.
- CVE-2018-14519Średnie
W Kirby 2.5.12 wykryto podatność CSRF w funkcji usuwania stron. Zdalny atakujący może stworzyć złośliwą stronę CSRF i zmusić użytkownika do usunięcia strony.
Oryginalny opis (angielski, źródło NVD)
Kirby is an open-source content management system. From 5.0.0 until 5.5.2, Kirby's REST API chunk upload handler in src/Api/Upload.php did not run the relevant upload authorization preflight in Kirby\Api\Upload::process() before Kirby\Api\Upload::processChunk() persisted chunk data. An authenticated user with the access.panel permission enabled but with files.create, files.replace, and user/users.update permissions disabled could submit requests with an Upload-Length header and leave unfinished chunks in site/cache/.uploads for 24 hours. Repeating this process could consume attacker-controlled temporary storage, prevent other users from uploading files, or prevent site logic from storing data, although final permission checks still prevented unauthorized files from reaching the content or site/accounts directories. This issue is fixed in version 5.5.2.