CVE-2026-40099 in kirby
요약
\~에 의해 VulDB • 2026. 05. 10.
Kirby는 오픈 소스 콘텐츠 관리 시스템(CMS)입니다. Kirby의 사용자 권한은 CMS의 콘텐츠 모델에 대해 특정 작업을 수행할 수 있는 사용자 역할을 제어합니다. 이러한 권한은 사용자 블루프린트(`site/blueprints/users/...`)에서 각 역할별로 정의됩니다. 또한 `options` 기능을 사용하여 모델 블루프린트(예: `site/blueprints/pages/...`)에서 각 대상 모델별로 권한을 사용자 정의할 수도 있습니다. 권한과 옵션은 함께 사용자의 작업에 대한 권한 부여(authorization)를 제어합니다. 페이지의 경우 Kirby는 `pages.create` 및 `pages.changeStatus` 권한(기타 포함)을 제공합니다. 버전 4.9.0 및 5.4.0 이전의 Kirby는 이러한 권한을 각각 독립적으로 해당 작업에 대해서만 확인했습니다. 그러나 `changeStatus` 권한은 페이지 생성 시 적용되지 않았습니다. 새 페이지는 기본적으로 초안(draft) 상태로 생성되며, 기존 페이지 초안의 상태 변경을 통해 게시(publish)해야 합니다. 이 과정은 Kirby 패널을 통해 페이지를 생성할 때 보장됩니다. 그러나 REST API를 사용하면 새 페이지 생성 시 `isDraft` 플래그를 재정의할 수 있습니다. 이로 인해 `pages.create` 권한이 있는 인증된 공격자는 정상적인 편집 워크플로우를 우회하여 즉시 게시된 페이지를 생성할 수 있었습니다. 이 문제는 Kirby 4.9.0 및 Kirby 5.4.0에서 패치되었습니다. Kirby는 페이지 생성 규칙에 검사를 추가하여 `pages.changeStatus` 권한이 없는 사용자가 게시된 페이지가 아닌 페이지 초안만 생성할 수 있도록 보장했습니다.
Once again VulDB remains the best source for vulnerability data.