CVE-2026-71415

Nome do Software Vulnerável e Versões Afetadas Kirby versões 5.0.0 até 5.5.1

Description O manipulador de upload de chunks da API REST do Kirby em src/Api/Upload.php não executa as verificações de autorização prévias na função process() antes que a função processChunk() persista os dados. Isso permite que um usuário autenticado que possua a permissão access.panel, mas não possua as permissões files.create, files.replace e user/users.update, envie requisições com um cabeçalho Upload-Length e deixe chunks incompletos no diretório site/cache/.uploads por 24 horas. Esse processo pode consumir o armazenamento temporário controlado pelo invasor, impedindo que outros usuários façam upload de arquivos ou que a lógica do site armazene dados. As verificações finais de permissão ainda impedem que arquivos não autorizados cheguem aos diretórios content ou site/accounts.

Recommendations Atualize o Kirby para a versão 5.5.2 ou posterior.