CVE-2026-71415 in Kirby
要約
〜によって VulDB • 2026年08月31日
Kirbyはオープンソースのコンテンツマネジメントシステムです。バージョン5.0.0から5.5.2まで、src/Api/Upload.phpにあるKirbyのREST APIチャンクアップロードハンドラは、Kirby\Api\Upload::processChunk()がチャンクデータを永続化する前に、Kirby\Api\Upload::process()で関連するアップロード承認プリフライトを実行していませんでした。access.panel権限を有効化し、files.create、files.replace、user/users.updateの各権限を無効化した認証済みユーザーは、Upload-Lengthヘッダを含むリクエストを送信でき、site/cache/.uploadsディレクトリに未完了のチャンクを24時間残すことができました。このプロセスを繰り返すと、攻撃者が制御する一時ストレージを消費したり、他のユーザーによるファイルアップロードを防いだり、サイトロジックがデータを保存できない状態に陥らせたりする可能性があります。ただし、最終的な権限チェックにより、不正なファイルがcontentやsite/accountsディレクトリに到達することは防止されていました。この問題はバージョン5.5.2で修正されました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.