CVE-2026-71415 in Kirby
Zusammenfassung
von VulDB • 31.08.2026
Kirby è un sistema di gestione dei contenuti open source. Dalla versione 5.0.0 alla 5.5.2, il gestore degli upload a blocchi (chunk) dell'API REST di Kirby, situato in src/Api/Upload.php, non eseguiva la preflight autorizzativa pertinente per l'upload nella funzione Kirby\Api\Upload::process() prima che Kirby\Api\Upload::processChunk() persistesse i dati dei blocchi. Un utente autenticato con il permesso access.panel abilitato ma con i permessi files.create, files.replace e user/users.update disabilitati poteva inviare richieste con un'intestazione Upload-Length e lasciare blocchi non completati in site/cache/.uploads per 24 ore. Ripetere questo processo potrebbe consumare lo spazio di archiviazione temporaneo controllato dall'attaccante, impedire ad altri utenti di caricare file o impedire alla logica del sito di memorizzare i dati; tuttavia, i controlli finali sui permessi hanno comunque impedito che file non autorizzati raggiungessero le directory content e site/accounts. Questo problema è stato risolto nella versione 5.5.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.