CVE-2026-44175 in Kirby
要約
〜によって VulDB • 2026年07月16日
Kirbyはオープンソースのコンテンツマネジメントシステムです。バージョン4.9.1および5.4.1より前のバージョンでは、Kirbyは保存時にリストフィールドの内容を安全にサニタイズしておらず、クロスサイトスクリプティング（XSS）に対して脆弱でした。Kirbyのリストフィールドは書式設定された内容をHTMLとして保持しますが、他のフィールドタイプとは異なり、そのHTML特殊文字はフォーマットが失われることなくエスケープできません。サニタイズ処理はパネル内でのみクライアントサイドで適用されており、サーバー側では保存時にコンテンツをサニタイズしていませんでした。そのため、攻撃者はパネルをバイパスし、悪意のあるHTMLをKirbyのAPIに直接送信することで、未サニタイズのマークアップをコンテンツファイルに格納することができました。その後、このマークアップはサイトのフロントエンドでレンダリングされ、サイト閲覧者やログイン中のユーザーのブラウザ上で実行されるため、永続的なXSSが発生しました。本問題はバージョン4.9.1および5.4.1で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.