CVE-2026-34587

Kirby açıq mənbəli məzmun idarəetmə sistemidir. Versiya 4.9.0 və 5.4.0-dan əvvəl, Kirby-nin istifadəçi icazələri CMS-dəki məzmun modelləri üzərində hansı istifadəçi rolunun konkret hərəkətləri yerinə yetirməsinə icazə verildiyini tənzimləyir. Bu icazələr istifadəçi blueprint-ində (`site/blueprints/users/...`) hər bir rol üçün təyin edilir. Həmçinin, `options` funksiyasından istifadə edərək model blueprint-lərində (məsələn, `site/blueprints/pages/...`) hər bir hədəf modeli üçün icazələri fərdiləşdirmək mümkündür. İcazələr və seçimlər birlikdə istifadəçi hərəkətlərinin avtorizasiyasını idarə edir. Səhifələr üçün Kirby (digərləri ilə yanaşı) `pages.create` və `pages.changeStatus` icazələrini təmin edir. Təsirə məruz qalan versiyalarda Kirby bu icazələri müstəqil şəkildə və yalnız müvafiq hərəkət üçün yoxlayırdı. Lakin `changeStatus` icazəsi səhifə yaradılması zamanı təsir göstərmirdi. Yeni səhifələr standart olaraq qaralama (draft) kimi yaradılır və mövcud səhifə qaralamasının statusunu dəyişdirərək dərc edilməlidir. Bu, səhifə Kirby Panel vasitəsilə yaradıldıqda təmin edilir. Lakin REST API yeni səhifə yaradarkən `isDraft` bayrağının dəyişdirilməsinə imkan verir. Bu, `pages.create` icazəsinə malik autentifikasiya olunmuş hücumçulara normal redaktə iş axınından yan keçərək dərhal dərc edilmiş səhifələr yaratmağa imkan verirdi. Problem Kirby 4.9.0 və Kirby 5.4.0 versiyalarında aradan qaldırılıb. Kirby, `OptionsQuery` və ya `OptionsApi` mənbələrindən gələn seçim dəyərlərində sorğuların ikiqat həll edilməməsi üçün `Options` məntiqini yeniləyib. Artıq Kirby yalnız blueprint-lərdə birbaşa konfiqurasiya edilmiş sorğuları həll edir.