Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICO

CVE-2026-108924 Elusión de autorización en la generación dinámica de opciones de getkirby Kirby

Una vulnerabilidad en getkirby Kirby hasta 4.9.5/5.5.3 afecta la función OptionsQuery::resolve del archivo src/Option/OptionsQuery.php, en el componente Dynamic Option Generation. La manipulación provoca una elusión de autorización y el ataque puede realizarse de forma remota. Se corrige al actualizar a las versiones 4.9.6 y 5.6.0.

Alerta de Nureq Monitor

Detectada 14 OCT · 04:53

CVSS 3.1

4.3MEDIA

CVSS 4.0

5.3 MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,4 % PERCENTIL 34

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-108924

Una vulnerabilidad en getkirby Kirby hasta 4.9.5/5.5.3 afecta la función OptionsQuery::resolve del archivo src/Option/OptionsQuery.php, en el componente Dynamic Option Generation. La manipulación provoca una elusión de autorización y el ataque puede realizarse de forma remota. Se corrige al actualizar a las versiones 4.9.6 y 5.6.0.

Productos y versiones afectadas

  • getkirby Kirby

    • 4.9.0
    • 4.9.1
    • 4.9.2
    • 4.9.3
    • 4.9.4
    • 4.9.5
    • 5.5.0
    • 5.5.1
    • 5.5.2
    • 5.5.3

Qué hacer

  1. Verificá si usás Kirby y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 4.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:C

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Baja
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Ninguna
NIVEL DE REMEDIACIÓN (RL)
Corrección oficial
CONFIANZA DEL INFORME (RC)
Confirmada

CVSS 4.0 · 5.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Baja
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Ninguna
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

CVSS 3.0 · 4.3 MEDIA

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N/E:X/RL:O/RC:C

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Baja
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Ninguna
NIVEL DE REMEDIACIÓN (RL)
Corrección oficial
CONFIANZA DEL INFORME (RC)
Confirmada

Abrir la calculadora completa

Descripción original

A vulnerability was identified in getkirby Kirby up to 4.9.5/5.5.3. Affected by this issue is the function OptionsQuery::resolve of the file src/Option/OptionsQuery.php of the component Dynamic Option Generation. The manipulation leads to authorization bypass. The attack is possible to be carried out remotely. Upgrading to version 4.9.6 and 5.6.0 can resolve this issue. You should upgrade the affected component.

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio capivara-research/CVE-2026-108924.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.