CVE-2026-45334 in Kirby
要約
〜によって VulDB • 2026年07月17日
Kirbyはオープンソースのコンテンツマネジメントシステムです。バージョン4.9.1および5.4.1より前のバージョンでは、コンテンツロック機能がリクエスト元のユーザーのアクセス権限を確認せずにロック情報を返していました。Kirby Panelには、現在どのユーザーがモデルを編集用に開いているかを記録するコンテンツロック機能が含まれています。このロックは複数のユーザーによる競合する編集を防ぎ、Panel UIにロック中のユーザーの身元を表示して他のユーザーが誰に連絡すべきかを知ることを可能にします。内部では、ロック中のユーザーのメールアドレスと識別子が、すべてのPanelビューペイロードおよび別のユーザーによって現在ロックされているモデルを編集しようとした際に返されるエラーレスポンスに含まれます。これにより、users.access: falseまたはusers.list: falseで構成されたロールを持つ低権限認証済みPanelユーザーが、管理者や他の高権限ユーザーを含む、Panel内で現在モデルを編集用に開いている任意のユーザーのメールアドレスと識別子を特定することができました。コンテンツロックは設定可能なウィンドウ（デフォルトでは10分）の間有効です。メールアドレスを使用すると、管理アカウントの列挙、標的型フィッシング、Kirbyインストールまたは他のサイトに対する資格情報スタッフィング攻撃を促進できます。内部ユーザーIDは、リクエスト元が別の手段を通じてより高い権限を取得した後、他のエンドポイントと照合することができます。この問題はバージョン4.9.1および5.4.1で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.