CVE-2021-41258

Kirby açıq mənbəli fayl strukturuna əsaslanan bir CMS-dir. Təsirə məruz qalan versiyalarda Kirby-nin blok sahələri hər bir blok üçün strukturlaşdırılmış məlumatları saxlayır. Bu məlumatlar daha sonra şablonlarda istifadə üçün blokları HTML formatına çevirmək məqsədilə blok snippet-lərində istifadə olunur. Saytlararası skriptinq (XSS) hücumlarından qorunmaq üçün HTML xüsusi simvollarının escape edilməsi tövsiyə olunur. Təəssüf ki, şəkil bloku üçün standart snippet bizim escape köməkçisindən istifadə etmir. Bu, şəkil blokunun source, alt və link sahələrinə zərərli HTML kodlarının daxil edilməsini mümkün edir ki, bu da saytın ön hissəsində göstərilir və sayta daxil olan ziyarətçilərin və autentifikasiya olunmuş istifadəçilərin brauzerlərində icra edilir. Hücumçular bu zəiflikdən istifadə etmək üçün sizin autentifikasiya olunmuş Panel istifadəçiləri qrupunuzda olmalıdırlar. Blok sahələrindən istifadə etməyən istifadəçilərə təsir göstərmir. Bu problem, standart şəkil bloku snippet-inin çıxışındakı xüsusi HTML simvollarının escape edilməsi ilə Kirby versiya 3.5.8-də aradan qaldırılıb. Zəifliyi düzəltmək üçün zəhmət olmasa bu və ya daha yeni versiyaya yeniləyin.