O Kirby é um sistema de gestão de conteúdo de código aberto. Antes das versões 4.9.0 e 5.4.0, as permissões de usuário do Kirby controlam qual papel do usuário é permitido executar ações específicas para os modelos de conteúdo no CMS. Estas permissões são definidas para cada papel na planta do usuário (`site/blueprints/ users/...`). Também é possível personalizar as permissões para cada modelo de alvo nas plantas do modelo (como em `site/ blueprints/pages/...`) usando a funcionalidade `options`. As permissões e opções em conjunto controlam a autorização de ações do usuário. Para páginas, o Kirby fornece as permissões `pages.create` e `pages.changeStatus` (entre outras). Em versões afetadas, o Kirby verificou estas permissões de forma independente e apenas para a ação respectiva. No entanto, a permissão `changeStatus` não teve efeito na criação da página. As novas páginas são criadas como bocetos por padrão e precisam ser publicadas mudando o estado de uma boceta de página existente. Isto é garantido quando a página é criada através do Painel Kirby. No entanto, a API REST permite sobrepor a bandeira `isDraft` ao criar uma nova página. Isto permitiu que atacantes autenticados com a permissão `pages.create` para criar imediatamente páginas publicadas, não passando pelo fluxo de trabalho editorial normal. O problema foi corrigido no Kirby 4.9.0 e Kirby 5.4.0. O Kirby atualizou a lógica de "Opções" para não dupla- resolução das consultas nos valores de opções provenientes de fontes de "OpçõesQuery" ou "OpçõesApi". O Kirby agora só resolve as consultas que estão diretamente configuradas nas plantas. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 34587 foi publicado em 2026 - 04 - 24 T 01: 16: 12.120 Z e última modificação em 2026 - 06 - 17 T 10: 39: 16.977 Z. O seu estado gravado é analisado.
métricas de vulnerabilidade gravadas: CVSS 4.0, pontuação de base 7.6, gravidade HIGH, vetor CVSS: 4.0 /AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X; CVSS 3.1, pontuação de base 8.1, gravidade HIGH, vetor CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N, pontuação de exploração 2.8, pontuação de impacto 5.2; CVSS. Classificações de fraqueza associadas: CWE- 1336.
Os produtos ou plataformas nomeados nos dados de aplicabilidade incluem: getkirby kirby.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.