Kirby CMS 多个漏洞（XSS/越权/头注入）及修复指南

漏洞概述 1. 外部初始化面板在反向代理设置中的问题 描述：影响未配置用户账户且运行在公开可访问服务器上的 Kirby 站点，这些服务器使用 、 或 请求头。 严重性：高危（CVSS 评分 9.1） CVE ID：CVE-2026-54003 建议：设置 和 值为长随机字符串。 2. 不完整的 HTML/XML sanitization 导致的跨站脚本（XSS） 描述：影响使用 或 字段或调用 、 、 、 或 的 Kirby 站点和插件。 严重性：高（CVSS 评分 8.5） CVE ID：CVE-2026-54002 建议：确保所有输入都经过正确的 sanitization 规则处理。 3. 自跨站脚本（self-XSS）在 writer 字段中 描述：影响使用 writer 字段的 Kirby 站点。攻击者可以通过包含一个可点击的链接来注入脚本。 严重性：高（CVSS 评分 7.4） CVE ID：CVE-2026-49276 建议：避免在 writer 字段中直接插入脚本链接。 4. REST API 路由未检查 权限 描述：影响未配置 权限的 Kirby 站点，导致任意页面信息可以被未授权访问。 严重性：高（CVSS 评分 7.1） CVE ID：CVE-2026-54005 建议：确保 权限正确配置。 5. 中的请求头注入 描述：影响使用 类的 Kirby 站点和插件，攻击者可以通过注入新行字符来注入独立的请求头。 严重性：中等（CVSS 评分 6.9） CVE ID：CVE-2026-50188 建议：验证和清理所有用户输入。 6. 顶级草稿文件的访问未受权限保护 描述：影响启用了 选项的 Kirby 5 站点和未明确禁用该选项的 Kirby 4 站点。 严重性：中等（CVSS 评分 6.3） CVE ID：CVE-2026-54004 建议：禁用 选项或确保权限正确配置。 7. 选择器中父页面的 权限未检查 描述：影响使用 字段且未配置 权限的 Kirby 站点。 严重性：中等（CVSS 评分 5.3） CVE ID：CVE-2026-49274 建议：确保 权限正确配置。 影响范围 所有未配置用户账户且运行在公开可访问服务器上的 Kirby 站点。 使用 或 字段或调用特定 sanitization 方法的 Kirby 站点和插件。 使用 writer 字段的 Kirby 站点。 未配置 权限的 Kirby 站点。 使用 类的 Kirby 站点和插件。 启用了 选项的 Kirby 5 站点和未明确禁用该选项的 Kirby 4 站点。 使用 字段且未配置 权限的 Kirby 站点。 修复方案 设置 和 值为长随机字符串。 确保所有输入都经过正确的 sanitization 规则处理。 避免在 writer 字段中直接插入脚本链接。 确保 权限正确配置。 验证和清理所有用户输入。 禁用 选项或确保权限正确配置。 确保 权限正确配置。 安全修复 保护 字段免受自跨站脚本（self-XSS）攻击。 更新 选择器以仅返回当前用户可访问的页面。 过滤 API 路由的结果。 不再允许通过外部 IP 地址安装 Panel。 在系统视图中显示警告，如果 和 默认值未更改。 增强功能 使用恒定时间验证增强 TOTP 令牌验证。 添加新的 JS 助手。 添加新的 助手。 允许直接从配置设置 。 错误修复 修复账户视图中的导航按钮问题。 修复 中的 头检测问题。 修复电子邮件链接中的 TLD 问题。 修复数据库查询中的列存在性问题。 修复 中的无效 JSON 处理。 修复 中的特殊字符转义问题。 修复 中的脚本加载问题。 修复蓝图字段键的规范化问题。 修复 中的转义属性问题。 修复 QR 码数据超出容量问题。 修复内容元数据回退问题。 修复 中的除零错误。 修复 中的 。 修复引用清除时不再忽略节点配置的问题。 破坏性更改 和 标签现在忽略来自 以外的主机的 URL。 贡献者 adamyordan, adrgs, 和 3 其他贡献者。 资产 2 个资产。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Kirby CMS 多个漏洞（XSS/越权/头注入）及修复指南

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Kirby CMS 多个漏洞（XSS/越权/头注入）及修复指南

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！