CVE-2026-42137

ŚrednieCVSS 6.5

Opublikowano: 09/05/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W Kirby (system zarządzania treścią) w wersjach przed 4.9.0 i 5.4.0, uprawnienia `pages.access/list` i `files.access/list` nie są konsekwentnie sprawdzane w Panelu i REST API.

Ocena ryzyka

Użytkownicy mogą uzyskać nieautoryzowany dostęp do stron lub plików, które powinny być chronione, co może prowadzić do wycieku danych lub nieautoryzowanych modyfikacji.

Rekomendacja

Zaktualizuj Kirby do wersji 4.9.0 lub 5.4.0 (w zależności od używanej gałęzi).

Oryginalny opis (angielski, źródło NVD)

Kirby is an open-source content management system. Prior to versions 4.9.0 and 5.4.0, `pages.access/list` and `files.access/list` permissions are not consistently checked in the Panel and REST API. This issue has been patched in versions 4.9.0 and 5.4.0.