CVE-2026-44177

Kirby açıq mənbəli məzmun idarəetmə sistemidir. 5.3.0 və daha yuxarı, lakin 5.4.1 versiyasından əvvəlki versiyalarda Kirby təqdim edilən istifadəçi ID-sini düzgün şəkildə təsdiqləmirdi ki, bu da yol keçidi (path traversal) zəifliyinə səbəb olurdu. 5.3.0 versiyasında Users kolleksiyasına, istifadəçi obyektlərini ilk ehtiyac yarandıqda tənbəl yükləmə (lazy loading) ilə işlədən performans təkmilləşdirilməsi əlavə edilmişdi. İstifadəçilər öz ID-ləri vasitəsilə sorğulanırdı və həmin ID daha sonra site/accounts qovluğu altında müvafiq hesab kataloqunu tapmaq üçün istifadə olunurdu. Bu, autentifikasiya API-nə (autentifikasiya olunmamış sorğular üçün əlçatandır), istifadəçilər API-nə (yalnız autentifikasiya olunmuş istifadəçilər üçün əlçatandır) və sorğu tərəfindən təqdim edilən e-poçt və ya ID vasitəsilə fərdi istifadəçini axtarmaq üçün $users->find() funksiyasından istifadə edən digər bütün sahələrə təsir göstərirdi. Nəticədə hücumçu index.php adlı faylların (məsələn, plaginlərin əsas PHP fayllarının) ixtiyari PHP fayl daxiletməsini (PHP file inclusion) tetikləyə bilərdi ki, bunun təsiri həmin faylların daxilindəki məntiqdən asılıdır. O, həmçinin serverdə ixtiyari kataloqların mövcudluğunu yoxlamağa imkan verirdi ki, bu da hücumçuların quraşdırılmış plaginlər və məzmun strukturu daxil olmaqla serverin və saytın quruluşunu müəyyən etməsinə şərait yaratdı. Bu problem 5.4.1 versiyasında aradan qaldırılmışdır.