CVE-2026-71415 in Kirby
요약
\~에 의해 VulDB • 2026. 09. 01.
Kirby는 오픈소스 콘텐츠 관리 시스템입니다. 버전 5.0.0부터 5.5.2까지, Kirby의 REST API 청크 업로드 핸들러(src/Api/Upload.php)는 Kirby\Api\Upload::processChunk()가 청크 데이터를 저장하기 전에 Kirby\Api\Upload::process()에서 관련 업로드 권한 사전 확인(preflight)을 실행하지 않았습니다. access.panel 권한은 활성화되어 있지만 files.create, files.replace 및 user/users.update 권한이 비활성화된 인증된 사용자는 Upload-Length 헤더를 포함하는 요청을 제출하여 site/cache/.uploads 디렉토리에 24시간 동안 미완료된 청크들을 남길 수 있습니다. 이 과정을 반복하면 공격자가 제어하는 임시 저장 공간을 소모하거나, 다른 사용자가 파일을 업로드하지 못하게 하거나, 사이트 로직이 데이터를 저장하지 못하도록 할 수 있지만, 최종 권한 확인은 여전히 무단 파일이 content 또는 site/accounts 디렉토리에 도달하는 것을 방지합니다. 이 문제는 버전 5.5.2에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.