CVE-2026-54004— getkirby kirby 授权问题漏洞
Possible ATT&CK Techniques 1AI
T1155新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-54004の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Kirby: Access to files of top-level drafts is not protected by permissions
ソース: NVD (National Vulnerability Database)
脆弱性説明
Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites with content.fileRedirects enabled could redirect unauthenticated clean file URL requests for files stored in top-level draft pages to physical media URLs without checking page access permissions or preview tokens, leading to disclosure of draft file contents. This issue is fixed in versions 4.9.4 and 5.4.4.
ソース: NVD (National Vulnerability Database)
CVSS情報
N/A
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
授权机制缺失
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
getkirby kirby 授权问题漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
getkirby Kirby是getkirby个人开发者开源的一套基于文件的内容管理系统。 getkirby kirby 4.9.4之前版本和5.0.0至5.4.4之前版本存在授权问题漏洞，该漏洞源于启用content.fileRedirects特性时未检查页面访问权限或预览令牌，可能导致未经身份验证的请求重定向到物理媒体URL，从而泄露草稿文件内容。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
II. CVE-2026-54004の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-54004のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-54004 补丁与修复 (2)
CVE-2026-54004 厂商安全公告 (1)
CVE-2026-54004 厂商页面 (2)
- 🔗 Release 4.9.4 · getkirby/kirby · GitHubx_refsource_MISC
Same Patch Batch · getkirby · 2026-07-09 · 7 CVEs total
| CVE-2026-54005 | Kirby: `pages.access` permission is not checked in the `site/find` REST API route | |
| CVE-2026-54003 | Kirby: External Initialization of the Panel on reverse proxy setups with the `Forwarded` h | |
| CVE-2026-54002 | Kirby: Cross-site scripting (XSS) from incomplete HTML/XML sanitization in `Dom::sanitize( | |
| CVE-2026-49276 | Kirby: Self cross-site scripting (self-XSS) in the writer field | |
| CVE-2026-49274 | Kirby: `pages.access` permission is not checked in the pages picker for parent pages | |
| CVE-2026-50188 | Kirby: Request header injection in `Http\Remote` |
IV. 関連脆弱性
同じ製品: kirby
- CVE-2026-49276
Kirby: Self cross-site scripting (self-XSS) in the writer fi - CVE-2026-54005
Kirby: `pages.access` permission is not checked in the `site - CVE-2026-50188
Kirby: Request header injection in `Http\Remote` - CVE-2026-49274
Kirby: `pages.access` permission is not checked in the pages - CVE-2026-54003
Kirby: External Initialization of the Panel on reverse proxy
同じベンダー: getkirby
- CVE-2026-49276
Kirby: Self cross-site scripting (self-XSS) in the writer fi - CVE-2026-54005
Kirby: `pages.access` permission is not checked in the `site - CVE-2026-50188
Kirby: Request header injection in `Http\Remote` - CVE-2026-49274
Kirby: `pages.access` permission is not checked in the pages - CVE-2026-54003
Kirby: External Initialization of the Panel on reverse proxy
同じ弱点: CWE-862
- CVE-2026-55052
Microsoft SharePoint Elevation of Privilege Vulnerability - CVE-2026-58279
Azure CycleCloud Elevation of Privilege Vulnerability - CVE-2026-14504
Nexus Repository 3 - Authorization Bypass in Component Uploa - CVE-2026-60119
Hi.Events v1.10.0-beta XSS via Event Title JSON.stringify In - CVE-2026-60118
Hi.Events v1.10.0-beta Hidden Ticket Enumeration via Order C
V. CVE-2026-54004へのコメント
まだコメントはありません