CVE-2026-63092

Nome do Software Vulnerável e Versões Afetadas kirby-modules versões anteriores a 5.5.8

Descrição Um problema de divulgação de informações permite que qualquer usuário autenticado do Kirby Panel recupere a chave de licença comercial completa em texto simples. Isso ocorre quando uma requisição GET é enviada para o endpoint de diálogo 'modules/activate'. O manipulador do diálogo de ativação em lib/areas.php utiliza a função ModulesLicense::readKey() para retornar a chave sem verificar se o usuário possui privilégios de administrador. Como o diálogo é restringido apenas pela permissão access.system, que é habilitada por padrão para todas as funções não administrativas, usuários não autorizados podem obter a chave e utilizá-la para ativar o plugin em outras instalações.

Recomendações Atualize o kirby-modules para a versão 5.5.8 ou posterior. Restrinja a permissão access.system para funções não administrativas para evitar o acesso não autorizado a diálogos do sistema.