CVE-2026-63092 in kirby-modules Plugin
要約
〜によって VulDB • 2026年07月21日
315417e コミットで修正された、kirby-modules 5.5.7 以前には、情報漏洩脆弱性が存在します。この脆弱性により、認証済み Kirby Panel ユーザーは modules/activate ダイアログエンドポイントに対して GET リクエストを送信することで、商用ライセンスキーの完全な平文を取得できます。lib/areas.php のプラグイン用 activate ダイアログハンドラーは、管理者チェックを実行せずに ModulesLicense::readKey() を介して完全なキーを返します。ダイアログへのアクセスは access.system 権限によってのみ制限されていますが、この権限はデフォルトで非管理者ロールに対して true に設定されているため、攻撃者は漏洩したライセンスキーを使用して任意のサードパーティ製インストール上でプラグインの有効化を行うことができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.