CVE-2026-45368

Kirby açıq mənbəli məzmun idarəetmə sistemidir. 4.9.1 və 5.4.1 versiyalarından əvvəlki versiyalarda, KirbyTags və şəkil blokları komponentlərinin alt URL metodları skriptin icrasına səbəb olan zərərli URL dəyərlərini filtrləmirdi. Bu boşluq redaktor tərəfindən təmin edilən sahə dəyərlərindən `<a href="…">` çıxışı yaradan dörd birinci tərəf Kirby renderer-inə təsir edir: (`link: …)` KirbyTag, tanınmış fayla və ya `self`-ə yönləndirmədikdə `(image: …)` KirbyTag-in `link`: parametri, daxili şəkil blokunun `link` sahəsi və `blocks` sahəsi üçün HTML idxalçısı (hansı ki, şəkil blokunun `link` sahəsi ilə eyni zərərli girişləri qəbul edirdi). Sadə `javascript:` URL-ləri nisbi yol kimi qəbul edilərək və URL-in əvvəlinə tək slash əlavə edilərək artıq deaktiv edilmiş olsa da, `javascript://x%0A…` formatlı URL-lərin istifadəsi bu müdafiəni yan keçir. Eyni boşluq `vbscript:`, `data:`, `livescript:`, `mocha:` və `jar:` sxemlərinə də təsir edir. Bu problem 4.9.1 və 5.4.1 versiyalarında düzəldilmişdir.