CVE-2026-71415 in Kirby
الملخص
بحسب VulDB • 31/08/2026
Kirby هو نظام إدارة محتوى مفتوح المصدر. من الإصدار 5.0.0 حتى 5.5.2، لم يكن معالج رفع القطع (chunk upload handler) لواجهة برمجة التطبيقات REST في Kirby الموجود في src/Api/Upload.php ينفذ عملية ما قبل المصادقة الخاصة بترخيص الرفع ذات الصلة في Kirby\Api\Upload::process() قبل أن يقوم Kirby\Api\Upload::processChunk() بتخزين بيانات القطعة. يمكن لمستخدم مُصرّح له بالوصول (authenticated user) يمتلك إذن access.panel مفعلاً ولكن تم تعطيل أذونات files.create وfiles.replace وuser/users.update لديه، إرسال طلبات تحتوي على رأس Upload-Length وترك قطع غير مكتملة في site/cache/.uploads لمدة 24 ساعة. ويمكن أن يؤدي تكرار هذه العملية إلى استهلاك مساحة تخزين مؤقتة يتحكم فيها المهاجم، أو منع المستخدمين الآخرين من رفع الملفات، أو منع منطق الموقع من تخزين البيانات، رغم أن فحوصات الأذونات النهائية لا تزال تمنع الوصول غير المصرّح به إلى ملفات الدلائل content وsite/accounts. تم إصلاح هذه المشكلة في الإصدار 5.5.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.