CVE-2020-26253
.dev domains treated as local in Kirby
Severity Score
Exploit Likelihood
Affected Versions
Public Exploits
0Exploited in Wild
-Decision
Descriptions
Kirby is a CMS. In Kirby CMS (getkirby/cms) before version 3.3.6, and Kirby Panel before version 2.5.14 there is a vulnerability in which the admin panel may be accessed if hosted on a .dev domain. In order to protect new installations on public servers that don't have an admin account for the Panel yet, we block account registration there by default. This is a security feature, which we implemented years ago in Kirby 2. It helps to avoid that you forget registering your first admin account on a public server. In this case – without our security block – someone else might theoretically be able to find your site, find out it's running on Kirby, find the Panel and then register the account first. It's an unlikely situation, but it's still a certain risk. To be able to register the first Panel account on a public server, you have to enforce the installer via a config setting. This helps to push all users to the best practice of registering your first Panel account on your local machine and upload it together with the rest of the site. This installation block implementation in Kirby versions before 3.3.6 still assumed that .dev domains are local domains, which is no longer true. In the meantime, those domains became publicly available. This means that our installation block is no longer working as expected if you use a .dev domain for your Kirby site. Additionally the local installation check may also fail if your site is behind a reverse proxy. You are only affected if you use a .dev domain or your site is behind a reverse proxy and you have not yet registered your first Panel account on the public server and someone finds your site and tries to login at `yourdomain.dev/panel` before you register your first account. You are not affected if you have already created one or multiple Panel accounts (no matter if on a .dev domain or behind a reverse proxy). The problem has been patched in Kirby 3.3.6. Please upgrade to this or a later version to fix the vulnerability.
Kirby es un CMS. En Kirby CMS (getkirby/cms) anterior a versión 3.3.6, y Kirby Panel anterior a versión 2.5.14, se presenta una vulnerabilidad en la que se puede acceder al panel de administración si está alojado en un dominio .dev. A fin de proteger nuevas instalaciones en servidores públicos que no tienen una cuenta de administrador para el Panel aún, bloqueamos el registro de cuenta allí por defecto. Esta es una característica de seguridad que implementamos hace años en Kirby versión 2. Ayuda a evitar que olvide registrar su primera cuenta de administrador en un servidor público. En este caso, sin nuestro bloqueo de seguridad, teóricamente alguien más podría encontrar su sitio, detectar que se está ejecutando en Kirby, buscar el Panel y luego registrar la cuenta primero. Es una situación poco probable, pero sigue siendo un cierto riesgo. Para poder registrar la primera cuenta del Panel en un servidor público, tienes que aplicar el instalador por medio de un ajuste de configuración. Esto ayuda a impulsar a todos los usuarios a la mejor práctica de registrar su primera cuenta del Panel en su máquina local y cargarla junto con el resto del sitio. Esta implementación del bloque de instalación en las versiones de Kirby anteriores a 3.3.6 aún asumía que los dominios .dev son dominios locales, lo cual ya no es cierto. Mientras tanto, esos dominios se hicieron disponibles públicamente. Esto significa que nuestro bloque de instalación ya no funciona como se esperaba si usa un dominio .dev para su sitio de Kirby. Además, la comprobación de la instalación local también puede presentar un fallo si su sitio está detrás de un proxy inverso. Solo estará afectado si usa un dominio .dev o su sitio está detrás de un proxy inverso y aún no ha registrado su primera cuenta del Panel en el servidor público y alguien encuentra su sitio e intenta iniciar sesión en "yourdomain.dev/panel" antes de que registre su primera cuenta. No estará afectado si ya ha creado una o varias cuentas del Panel (sin importar si está en un dominio .dev o detrás de un proxy inverso). El problema ha sido parcheado en Kirby versión 3.3.6. Actualice a esta o una versión posterior para corregir la vulnerabilidad
CVSS Scores
SSVC
- Decision:-
Timeline
- 2020-10-01 CVE Reserved
- 2020-12-08 CVE Published
- 2024-08-04 CVE Updated
- 2024-10-12 EPSS Updated
- ---------- Exploited in Wild
- ---------- KEV Due Date
- ---------- First Exploit
CWE
- CWE-346: Origin Validation Error
CAPEC
References (5)
| URL | Tag | Source |
|---|---|---|
| https://github.com/getkirby/kirby/releases/tag/3.3.6 | Release Notes | |
| https://packagist.org/packages/getkirby/cms | Product | |
| https://packagist.org/packages/getkirby/panel | Product |
| URL | Date | SRC |
|---|
| URL | Date | SRC |
|---|---|---|
| https://github.com/getkirby-v2/panel/commit/7f9ac1876bacb89fd8f142f5e561a02ebb725baa | 2020-12-08 | |
| https://github.com/getkirby/kirby/security/advisories/GHSA-2ccx-2gf3-8xvv | 2020-12-08 |
| URL | Date | SRC |
|---|
Affected Vendors, Products, and Versions
| Vendor | Product | Version | Other | Status | ||||||
|---|---|---|---|---|---|---|---|---|---|---|
| Vendor | Product | Version | Other | Status | <-- --> | Vendor | Product | Version | Other | Status |
| Getkirby Search vendor "Getkirby" | Kirby Search vendor "Getkirby" for product "Kirby" | < 3.3.6 Search vendor "Getkirby" for product "Kirby" and version " < 3.3.6" | - |
Affected
| ||||||
| Getkirby Search vendor "Getkirby" | Panel Search vendor "Getkirby" for product "Panel" | < 2.5.14 Search vendor "Getkirby" for product "Panel" and version " < 2.5.14" | - |
Affected
| ||||||