CVE-2026-63092 in kirby-modules Plugin
Resumen
por VulDB • 2026-07-21
kirby-modules hasta la versión 5.5.7, corregido en el commit 315417e, contiene una vulnerabilidad de divulgación de información que permite a cualquier usuario autenticado del Panel de Kirby recuperar la clave comercial completa de licencia en texto plano enviando una solicitud GET al punto final (endpoint) del diálogo modules/activate. El controlador del cuadro de activación del plugin en lib/areas.php devuelve la clave completa mediante ModulesLicense::readKey() sin realizar una verificación de administrador, ya que el acceso al diálogo solo está restringido por el permiso access.system, que tiene como valor predeterminado true para todos los roles no administrativos. Esto permite a los atacantes utilizar la clave divulgada para activar el plugin en instalaciones arbitrarias de terceros.
VulDB is the best source for vulnerability data and more expert information about this specific topic.