Kirby is an open-source content management system. Prior to 4.9.5 and from 5.0.0 through 5.5.1, the REST API error handler can return unsanitized PHP error messages that expose the full filesystem path of the Kirby installation to unauthenticated API users. This vulnerability affects all Kirby sites that have not disabled the REST API with the 'api' => false option. This issue is fixed in versions 4.9.5 and 5.5.2.
CVSS
No CVSS.
References
Configurations
No configuration.
History
24 Oct 2026, 16:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Kirby es un sistema de gestión de contenido de código abierto. Antes de la 4.9.5 y desde la 5.0.0 hasta la 5.5.1, el gestor de errores de la API REST puede devolver mensajes de error PHP sin sanear que exponen la ruta completa del sistema de archivos de la instalación de Kirby a usuarios de la API no autenticados. Esta vulnerabilidad afecta a todos los sitios de Kirby que no han deshabilitado la API REST con la opción ’api’ =mayor que false. Este problema está solucionado en las versiones 4.9.5 y 5.5.2. |
23 Oct 2026, 20:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2026-08-07 19:18
Updated : 2026-10-24 16:10
NVD link : CVE-2026-69127
Mitre link : CVE-2026-69127
CVE.ORG link : CVE-2026-69127
JSON object : View
Products Affected
No product.
CWE
CWE-497
Exposure of Sensitive System Information to an Unauthorized Control Sphere