CVE-2026-40099

Kirby açıq mənbəli məzmun idarəetmə sistemidir. Kirby-nin istifadəçi icazələri, CMS-dəki məzmun modelləri üzərində hansı istifadəçi rolunun konkret hərəkətləri yerinə yetirməyə icazəsinin olduğunu tənzimləyir. Bu icazələr hər bir rol üçün istifadəçi planında (`site/blueprints/users/...`) təyin edilir. Həmçinin, `options` funksiyasından istifadə edərək hədəf model planlarında (məsələn, `site/blueprints/pages/...` daxilində) hər bir model üçün icazələri fərdiləşdirmək mümkündür. İcazələr və seçimlər birlikdə istifadəçi hərəkətlərinin avtorizasiyasını tənzimləyir. Səhifələr üçün Kirby (digərləri ilə yanaşı) `pages.create` və `pages.changeStatus` icazələrini təmin edir. Versiyalar 4.9.0 və 5.4.0-dan əvvəl Kirby bu icazələri müstəqil şəkildə və yalnız müvafiq hərəkət üçün yoxlayırdı. Lakin `changeStatus` icazəsi səhifə yaradılması zamanı təsir göstərmirdi. Yeni səhifələr standart olaraq qaralama kimi yaradılır və mövcud səhifə qaralamasının statusunu dəyişdirərək dərc edilməlidir. Bu, səhifə Kirby Panel vasitəsilə yaradıldıqda təmin edilir. Lakin REST API yeni səhifə yaradarkən `isDraft` bayrağının dəyişdirilməsinə imkan verir. Bu, `pages.create` icazəsinə malik autentifikasiya olunmuş hücumçulara normal redaktə iş axınından yan keçərək dərhal dərc edilmiş səhifələr yaratmağa imkan verirdi. Problem Kirby 4.9.0 və Kirby 5.4.0 versiyalarında aradan qaldırılıb. Kirby səhifə yaratma qaydalarına elə bir yoxlama əlavə etmişdir ki, bu da `pages.changeStatus` icazəsi olmayan istifadəçilərin dərc edilmiş səhifələr yox, yalnız səhifə qaralamaları yarada bilməsini təmin edir.