CVE-2026-32870

Kirby açıq mənbəli məzmun idarəetmə sistemidir. Kirby-nin `Xml::value()` metodu `<![CDATA[ ]]>` blokları üçün xüsusi emala malikdir. Əgər giriş dəyəri artıq etibarlı `CDATA`-dırsa, o, ikinci dəfə escape edilmir və olduğu kimi ötürülür. Lakin, 4.9.0 və 5.4.0 versiyalarından əvvəl bu yoxlamanı aldadaraq həm etibarlı `CDATA` bloku, həm də `CDATA` blokundan kənarda digər strukturlaşdırılmış məlumatlar olan dəyərlərin keçməsinə şərait yaratmaq mümkün idi. Bu strukturlaşdırılmış məlumatlar da həmin yoxlamadan keçərək dəyər mühafizəsini yangedirdi. `Xml::value()` metodu `Xml::tag()`, `Xml::create()` və `Xml` məlumat operatorunda (məsələn, `Data::encode($string, 'xml')`) istifadə olunur. Həm zəiflikdən təsirlənən metodlar, həm də məlumat operatoru Kirby nüvəsində (core) istifadə edilmir. Bununla belə, onlar sayt və ya plagin kodlarında, məsələn, giriş məlumatlarından XML sətirləri yaratmaq üçün istifadə oluna bilər. Əgər həmin yaradılmış fayllar XML sxeminə xüsusi məna yükləyən başqa bir tətbiqə ötürülərsə, həmin sistemin davranışını manipulyasiya etmək mümkün olur. Sayt və ya plagin kodunda XML generasiyasından istifadə etməyən Kirby saytları bundan təsirlənmir. Problem Kirby 4.9.0 və Kirby 5.4.0 versiyalarında aradan qaldırılıb. Qeyd olunan bütün buraxılışlarda Kirby əlavə yoxlamalar əlavə etmişdir ki, dəyişdirilməmiş `CDATA` ötürülməsi yalnız bütün sətir etibarlı `CDATA` bloklarından ibarət olduqda və heç bir strukturlaşdırılmış məlumat olmadıqda mümkün olsun. Bu, metodun bütün istifadə hallarını təsvir edilən zəiflikdən qoruyur.