CVE-2026-63092
Açıklama
kirby-modules 5.5.7 sürümüne kadar olan versiyonları (315417e commit'inde düzeltildi), kimliği doğrulanmış herhangi bir Kirby Panel kullanıcısının modules/activate diyalog uç noktasına bir GET isteği göndererek ticari lisans anahtarının tam düz metin halini almasına izin veren bir bilgi ifşası zafiyeti içermektedir. Eklentinin lib/areas.php dosyasındaki activate diyalog işleyicisi, yönetici kontrolü yapmadan ModulesLicense::readKey() aracılığıyla anahtarın tamamını döndürmektedir; çünkü diyalog yalnızca tüm yönetici olmayan roller için varsayılan olarak doğru (true) olan access.system izni ile sınırlandırılmıştır. Bu durum, saldırganların ifşa edilen anahtarı rastgele üçüncü taraf kurulumlarda eklentiyi etkinleştirmek için kullanmasına olanak tanır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| medienbaecker kirby-modules | v ≤ 5.5.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.