CVE-2026-49276

Nome do Software Vulnerável e Versões Afetadas Kirby versões anteriores a 4.9.4 Kirby versões anteriores a 5.4.4

Description Sites Kirby que utilizam o campo writer em qualquer blueprint estão suscetíveis a cross-site scripting (XSS). As marcações link e email nos componentes do writer não impedem o envio de URLs de JavaScript. Especificamente, a marcação link permite URLs de JavaScript através do tipo de URL personalizado, que podem ser clicadas pelo usuário que as inseriu antes que o conteúdo seja salvo. A marcação email também é vulnerável, embora a exploração exija um canal lateral, como o console do navegador, devido à validação da interface. Em configurações padrão, isso resulta em self-XSS, onde um usuário executa código malicioso em sua própria sessão. No entanto, plugins do Panel que utilizam o componente <k-writer> podem estar sujeitos a XSS armazenado se o HTML resultante não for sanitizado antes de ser salvo. XSS é uma vulnerabilidade que permite a execução de código JavaScript dentro da sessão de um usuário, potencialmente permitindo requisições de API não autorizadas com as permissões da vítima.

Recommendations Atualize o Kirby para a versão 4.9.4 ou posterior. Atualize o Kirby para a versão 5.4.4 ou posterior. Restrinja o uso do campo writer em blueprints até que as atualizações sejam aplicadas.