CVE-2026-45334 in Kirby
Tóm tắt
Bởi VulDB • 17/07/2026
Kirby là một hệ thống quản lý nội dung mã nguồn mở. Trong các phiên bản trước 4.9.1 và 5.4.1, tính năng khóa nội dung (content-locking) đã trả về thông tin khóa mà không kiểm tra quyền truy cập của người dùng yêu cầu. Bảng điều khiển (Panel) của Kirby bao gồm một tính năng khóa nội dung ghi lại người dùng nào hiện đang mở mô hình để chỉnh sửa. Khóa này ngăn chặn các lần chỉnh sửa xung đột bởi nhiều người dùng và hiển thị danh tính của người dùng đã khóa trong giao diện Panel UI, giúp những người dùng khác biết ai là người cần liên hệ. Về mặt kỹ thuật, địa chỉ email và định danh (identifier) của người dùng đang khóa được bao gồm trong mọi tải trọng (payload) xem trên Panel cũng như trong các phản hồi lỗi trả về khi một người dùng cố gắng chỉnh sửa một mô hình hiện đang bị khóa bởi người dùng khác. Điều này cho phép một người dùng đã xác thực có đặc quyền thấp trên Panel, với vai trò được cấu hình là users.access: false hoặc users.list: false, thu thập địa chỉ email và định danh của bất kỳ người dùng nào hiện đang mở một mô hình để chỉnh sửa trong Panel, bao gồm cả quản trị viên (administrators) và các người dùng có đặc quyền cao hơn. Các khóa nội dung hoạt động trong một khoảng thời gian có thể cấu hình (mặc định là 10 phút). Địa chỉ email có thể được sử dụng để liệt kê tài khoản quản trị viên, nhắm mục tiêu cho tấn công lừa đảo (phishing) và cung cấp dữ liệu đầu vào cho các cuộc tấn công điền thông tin đăng nhập (credential-stuffing) chống lại cài đặt Kirby hoặc các trang web khác. Định danh người dùng nội bộ có thể được đối chiếu với các điểm cuối (endpoints) khác một khi kẻ yêu cầu đã đạt được đặc quyền cao hơn bằng các phương tiện không liên quan. Vấn đề này đã được sửa chữa trong các phiên bản 4.9.1 và 5.4.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.