Vulnérabilité dans getkirby/cms (CVE-2026-42051)
Résumé
Vulnérabilité dans getkirby/cms (CVE-2026-42051). Risque d'opérations non autorisées ou de divulgation. Exploitable via access.system. Atténuation : mise à jour vers 5.4.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
TL;DR
This vulnerability affects all Kirby sites that might have potential attackers in the group of authenticated Panel users.
Introduction
Missing authorization allows authenticated users to perform actions they are not intended to have access to.
The effects of missing authorization can include unauthorized access to sensitive information as well as unauthorized changes to content or system information.
Impact
Kirby's user permissions control which user role is allowed to perform specific actions in the CMS. These permissions are defined for each role in the user blueprint (site/blueprints/users/...). The permissions control the authorization of user actions (with handling of model-specific authorization omitted here for brevity).
Kirby provides the access.system permission (among others) that controls access to the system area of the Kirby Panel. This area contains internal system information like the installed Kirby, plugin and server versions, security state and Kirby license. If the access.system permission is disabled for a user role, users of that role should not be able to access this internal system information. However it is also possible to access some system information via the /api/system REST API endpoint. In affected releases, the response of this endpoint for authenticated users contained the installed Kirby version and the status, type and code of the installed Kirby license. These values are considered sensitive information…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-42051 a été découverte dans getkirby/cms.
Des attaquants peuvent cibler un point d'entrée spécifique comme access.system à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.3/10.
Action : mettez à jour getkirby/cms vers 5.4.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « getkirby/cms CVE-2026-42051 » sur le site de l'éditeur.
CVE-2026-42051 (getkirby/cms) — CWE-862 / CVSS v3 4.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : access.system
Correctif : 5.4.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-862) affecte getkirby/cms. Les attaquants atteignent le code vulnérable via access.system.
Consultez l'avis de l'éditeur pour les versions affectées de getkirby/cms. Surface d'attaque : access.system.
Gravité : Moyenne (CVSS 4.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.4.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'getkirby/cms' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
getkirby/cmsを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade getkirby/cms to 5.4.0ステージング環境で 5.4.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- patch security-advisories@github.com
- web security-advisories@github.com
- web security-advisories@github.com
- web github.com