CVE-2026-71415 in Kirby
Сводка
по VulDB • 31.08.2026
Kirby — это система управления контентом с открытым исходным кодом. В версиях от 5.0.0 до 5.5.2 обработчик загрузки чанков REST API Kirby в файле src/Api/Upload.php не выполнял соответствующую префлайт-проверку авторизации загрузки (upload authorization preflight) в методе `Kirby\Api\Upload::process()` перед тем, как метод `Kirby\Api\Upload::processChunk()` сохранял данные чанка. Аутентифицированный пользователь с включенным правом доступа `.panel`, но отключенными правами `files.create`, `files.replace` и `user/users.update`, мог отправлять запросы со заголовком `Upload-Length` и оставлять незавершенные чанки в директории `site/cache/.uploads` на 24 часа. Повторение этого процесса могло привести к исчерпанию временного хранилища, контролируемого злоумышленником, помешать другим пользователям загружать файлы или предотвратить сохранение данных логикой сайта; при этом финальные проверки прав доступа все же предотвращали попадание несанкционированных файлов в директории контента и `site/accounts`. Эта проблема исправлена в версии 5.5.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.