CVE-2026-50188

Nome do Software Vulnerável e Versões Afetadas Kirby versões anteriores a 4.9.4 Kirby versões anteriores a 5.4.4

Description Sites e plugins Kirby que utilizam a classe KirbyHttpRemote, incluindo as funções Remote::request(), Remote::get() e Remote::post(), estão suscetíveis a injeção de cabeçalho HTTP (também conhecida como injeção de CRLF). Isso ocorre quando dados não confiáveis, controlados pelo usuário, são passados para a opção headers de uma requisição HTTP de saída sem a devida sanitização. Um invasor pode incluir caracteres de retorno de carro e alimentação de linha (r ) em um valor de cabeçalho para encerrar o cabeçalho pretendido e injetar cabeçalhos de requisição separados e não intencionais. Isso pode ser usado para sobrescrever cabeçalhos relevantes para a segurança, como Authorization, Host ou Cookie, levando potencialmente ao contrabando de requisições (request smuggling) ou ao envenenamento de cache no serviço remoto ao qual o Kirby se conecta. Na configuração padrão, a classe Remote não é exposta a entradas não confiáveis, o que significa que o problema afeta principalmente códigos personalizados, plugins ou integrações que constroem cabeçalhos de requisição a partir de entradas do usuário.

Recommendations Atualize o Kirby para a versão 4.9.4 ou posterior. Atualize o Kirby para a versão 5.4.4 ou posterior. Como mitigação temporária, restrinja o uso da opção headers na classe KirbyHttpRemote para garantir que nenhuma entrada de usuário não confiável seja passada para ela.