CVE-2026-63092 in kirby-modules Plugin
Sumário
de VulDB • 23/07/2026
O kirby-modules até a versão 5.5.7 (corrigido no commit 315417e) contém uma vulnerabilidade de divulgação de informações que permite qualquer usuário autenticado do Kirby Panel recuperar a chave comercial da licença em texto puro, enviando uma requisição GET ao endpoint do diálogo modules/activate. O manipulador do diálogo de ativação do plugin em lib/areas.php retorna a chave completa via ModulesLicense::readKey() sem realizar uma verificação de administrador, pois o acesso ao diálogo é restrito apenas pela permissão access.system, que por padrão assume valor true para todos os papéis não administrativos, permitindo que atacantes utilizem a chave divulgada para ativar o plugin em instalações arbitrárias de terceiros.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.