CVE-2026-40099

Name of the Vulnerable Software and Affected Versions Kirby versões anteriores a 4.9.0 Kirby versões anteriores a 5.4.0

Description Um bypass de autorização permite que usuários autenticados realizem ações além de suas permissões configuradas, levando a uma escalada de privilégios. Na REST API, a flag isDraft pode ser sobrescrita durante a criação de uma nova página. Isso permite que atacantes autenticados que possuem a permissão pages.create, mas não possuem a permissão pages.changeStatus, criem páginas publicadas imediatamente. Isso ignora o fluxo editorial padrão, onde novas páginas são normalmente criadas como rascunhos e exigem uma alteração de status para serem publicadas.

Recommendations Atualize o Kirby para a versão 4.9.0 ou posterior. Atualize o Kirby para a versão 5.4.0 ou posterior.