CVE-2026-54002
Publiée le 2026-07-09 · Dernière modification le 2026-10-25
Les sites Kirby CMS utilisant des champs de type « writer » ou « list » sont susceptibles d'être victimes de failles de cross-site scripting (XSS) stocké s'ils traitent des entrées non sécurisées. Un attaquant disposant de permissions d'utilisateur basiques peut injecter un balisage malveillant qui contourne la désinfection des données, lui permettant ainsi d'exécuter des scripts arbitraires dans les navigateurs des autres utilisateurs consultant le contenu concerné. Cela nécessite un accès réseau et une interaction utilisateur minimale, ce qui en fait une exploitation simple pour toute personne possédant un compte sur le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Kirby is an open-source content management system. Prior to 4.9.4 and 5.4.4, Kirby sites and plugins that use the writer or list fields or call Dom::sanitize(), Sane::sanitize(), Sane::Html::sanitize(), Sane::Svg::sanitize(), Sane::Xml::sanitize(), Sane::sanitizeFile(), or file sanitizeContents() with untrusted input allow malicious markup injected as children of an unknown HTML or XML tag to pass through Dom::sanitize() without being correctly sanitized, causing stored cross-site scripting. This issue is fixed in versions 4.9.4 and 5.4.4.