CVE-2025-31493

Kirby açıq mənbəli məzmun idarəetmə sistemidir. 3.9.8.3, 3.10.1.2 və 4.7.1 versiyalarından əvvəlki versiyalarda mövcud olan zəiflik, dinamik kolleksiya adından (məsələn, sorğudan və ya istifadəçi məlumatlarından asılı olan kolleksiya adı) `collection()` köməkçisini və ya `$kirby->collection()` metodunu istifadə edən bütün Kirby saytlarına təsir edir. Yalnız `collection()` köməkçisinə/`$kirby->collection()` metoduna sabit çağırışlardan (yəni kolleksiya adı üçün sadə sətirdən istifadə edilən çağırışlar) istifadə edən saytlara bu zəiflik təsir etmir. Yol keçidi (path traversal) yoxlamasının olmaması hücumçulara PHP prosesi üçün əlçatan olan serverdəki bütün faylları, o cümlədən kolleksiyaların kök qovluğundan kənarda və ya hətta Kirby quraşdırmasından kənarda olan faylları gəzməyə və onlara daxil olmağa imkan verirdi. Belə faylların daxilindəki PHP kodu icra olunurdu. Bu növ hücumlar ilk növbədə sayt kodunda dinamik kolleksiya adlarının səbəbləndirdiyi hücum vektoru tələb edir, məsələn: `collection('tags-' . get('tags'))`. Ümumiyyətlə, bu həmçinin hücumçunun sayt strukturunu və serverin fayl sistemini tanımasını tələb edir, lakin zəif tənzimləmələri fuzzing kimi avtomatlaşdırılmış üsullarla tapmaq mümkün ola bilər. Zəif tənzimləmələrdə bu, serverin konfidensiallığına və bütövlüyünə zərər verə bilərdi. Problem Kirby 3.9.8.3, Kirby 3.10.1.2 və Kirby 4.7.1 versiyalarında aradan qaldırılıb. Qeyd olunan bütün buraxılışlarda Kirby tərtibatçıları kolleksiya yolu üçün bir yoxlama əlavə etmişlər ki, bu da nəticə etibarı ilə alınan yolun konfiqurasiya edilmiş kolleksiyalar kök qovluğunun daxilində olduğunu təmin edir. Kolleksiyalar kök qovluğundan kənara yönəlmiş kolleksiya yolları yüklənməyəcəkdir.