CVE-2021-29460

Kirby açıq mənbəli bir CMS-dir. Kirby Panel-də yazı giriş hüququ olan redaktor, tərkibində `<script>` teqləri kimi zərərli kontent olan SVG faylı yükləyə bilər. Həmin fayla birbaşa keçid digər istifadəçilərə və ya saytın ziyarətçilərinə göndərilə bilər. Əgər qurban həmin keçidi Kirby-də daxil olduğu brauzerdə açarsa, skript işə düşəcək və məsələn, qurbanın icazələri ilə Kirby-nin API-na sorğular göndərə bilər. Bu boşluq, autentifikasiya olunmuş Panel istifadəçiləri arasında potensial hücumçuların olması halında kritikdir, çünki onlar administrator istifadəçisinin Panel sessiyasına giriş əldə etdikdə öz imtiyazlarını yüksəldə bilərlər. Saytınızdan asılı olaraq, digər JavaScript əsaslı hücumlar da mümkündür. Panel girişi olmayan ziyarətçilər bu hücum vektorundan yalnız saytınız front-end formalarında SVG fayllarının yüklənməsinə icazə verdikdə və yüklənmiş SVG fayllarını təmizləmədiyiniz təqdirdə istifadə edə bilərlər. Problem Kirby 3.5.4 versiyasında aradan qaldırılmışdır. Boşluğu düzəltmək üçün zəhmət olmasa bu və ya daha yeni versiyaya yeniləyin. Front-end yükləmə formaları, yüklənmiş fayl(lar)-ı necə saxlamasından asılı olaraq ayrıca düzəldilməlidir. Əgər `File::create()` funksiyasından istifadə edirsinizsə, 3.5.4+ versiyasına yenilənməklə qorunursunuz. Müvəqqəti həll yolu kimi, fayl blueprint-lərində SVG fayllarının yüklənməsini deaktiv edə bilərsiniz.