Kirby CMS 多个安全漏洞 (RCE/XSS/任意方法调用) 公告

漏洞概述 1. Pre-authentication path traversal and PHP file inclusion during user lookup - CVE ID: CVE-2026-44177 - Severity: high (CVSS score 8.8) - Advisory: GHSA-9h7-c53c-vbx8 2. Arbitrary Method Call via REST API search and collection query endpoints - CVE ID: CVE-2026-44174 - Severity: high (CVSS score 8.7) - Advisory: GHSA-86h-h242-8xp 3. Cross-site scripting (XSS) from list field content in the site frontend - CVE ID: CVE-2026-44175 - Severity: high (CVSS score 8.5) - Advisory: GHSA-5hw-9q32-q257 4. Cross-site scripting (XSS) from links in KirbyTags, image blocks and imported blocks HTML in the site frontend - CVE ID: CVE-2026-45368 - Severity: high (CVSS score 8.4) - Advisory: GHSA-qpf-927g-py44 5. pages.access permission is not checked during rendering of page drafts - CVE ID: CVE-2026-44176 - Severity: moderate (CVSS score 6.0) - Advisory: GHSA-2xw4-v2wx-hqp9 6. Content locks disclose IDs and emails of inaccessible users from users.access/list permissions - CVE ID: CVE-2026-45334 - Severity: moderate (CVSS score 5.3) - Advisory: GHSA-39vq-49gm-2mc 影响范围 Pre-authentication path traversal and PHP file inclusion during user lookup: 影响所有使用 Kirby 5.3.0-5.4.0 的站点，与设置条件和认证无关。 Arbitrary Method Call via REST API search and collection query endpoints: 影响所有可能有潜在攻击者的已认证面板用户组的 Kirby 站点。 Cross-site scripting (XSS) from list field content in the site frontend: 影响使用列表字段或列表块且内容由可能不完全信任的用户编写的 Kirby 站点。 Cross-site scripting (XSS) from links in KirbyTags, image blocks and imported blocks HTML in the site frontend: 影响使用链接、KirbyTags、图像块和导入块 HTML 且内容由可能不完全信任的用户编写的 Kirby 站点。 pages.access permission is not checked during rendering of page drafts: 影响特定角色无权访问页面（ 权限被禁用）的 Kirby 站点。 Content locks disclose IDs and emails of inaccessible users from users.access/list permissions: 影响某些角色不允许查看其他用户信息的 Kirby 站点。 修复方案 Pre-authentication path traversal and PHP file inclusion during user lookup: 升级到 5.4.1 版本。 Arbitrary Method Call via REST API search and collection query endpoints: 升级到 5.4.1 版本。 Cross-site scripting (XSS) from list field content in the site frontend: 升级到 5.4.1 版本。 Cross-site scripting (XSS) from links in KirbyTags, image blocks and imported blocks HTML in the site frontend: 升级到 5.4.1 版本。 pages.access permission is not checked during rendering of page drafts: 升级到 5.4.1 版本。 Content locks disclose IDs and emails of inaccessible users from users.access/list permissions: 升级到 5.4.1 版本。 POC代码或利用代码 页面中未提供具体的 POC 代码或利用代码。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Kirby CMS 多个安全漏洞 (RCE/XSS/任意方法调用) 公告

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Kirby CMS 多个安全漏洞 (RCE/XSS/任意方法调用) 公告

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！