CVE-2026-45334

Kirby açıq mənbəli kontent idarəetmə sistemidir. 4.9.1 və 5.4.1 versiyalarından əvvəlki versiyalarda kontentin kilidlənməsi funksiyası sorğu göndərən istifadəçinin giriş icazələrini yoxlamadan kilid məlumatını qaytarırdı. Kirby-nin Panelində hansı istifadəçinin hazırda redaktə üçün modeli açıq saxladığını qeyd edən kontentin kilidlənməsi funksiyası var. Bu kilid bir neçə istifadəçinin ziddiyyətli redaktələrinin qarşısını alır və digər istifadəçilərin kimlə əlaqə saxlayacağını bilmələri üçün Panel interfeysində kilidləyən istifadəçinin kimliyini göstərir. Daxildə, kilidləyən istifadəçinin e-poçt ünvanı və identifikatoru hər Panel görünüşünün yükünə və istifadəçi hazırda başqa istifadəçi tərəfindən kilidlənmiş modeli redaktə etməyə cəhd etdikdə qaytarılan xəta cavablarına daxil edilirdi. Bu, rolu users.access: false və ya users.list: false ilə konfiqurasiya edilmiş aşağı imtiyazlı autentifikasiya olunmuş Panel istifadəçisinə Panel-də hazırda redaktə üçün modeli açıq saxlayan istənilən istifadəçinin, o cümlədən administratorların və digər yüksək imtiyazlı istifadəçilərin e-poçt ünvanını və identifikatorunu öyrənməyə imkan verirdi. Kontent kilidləri konfiqurasiya edilə bilən müddət ərzində (susmaya görə 10 dəqiqə) aktiv olur. E-poçt ünvanı admin hesablarının sadalanmasına, hədəflənmiş fişinqə imkan verə və Kirby quraşdırmasına və ya digər saytlara qarşı etimad məlumatlarının doldurulması hücumlarını qidalaya bilər. Daxili istifadəçi ID-si, sorğu göndərən şəxs əlaqəsiz vasitələrlə daha yüksək imtiyaz əldə etdikdən sonra digər endpoint-lərlə çarpaz müqayisə edilə bilər. Bu problem 4.9.1 və 5.4.1 versiyalarında düzəldilmişdir.