CVE-2026-75592

Kirby açıq mənbəli məzmun idarəetmə sistemidir. Buraxılış xəttindən asılı olaraq, 4.9.5 və 5.5.2 versiyalarından əvvəl Kirby-nin media idarəedicisi src/Filesystem/Dir.php və src/Filesystem/F.php fayllarında Kirby\Filesystem\Dir::realpath() və Kirby\Filesystem\F::realpath() vasitəsilə natamam fayl sistemi məhdudiyyət yoxlamalarından istifadə edirdi. Yoxlamalar dəqiq uyğunluğu və ya DIRECTORY_SEPARATOR sərhədini tələb etmədiyi üçün hədəf kök qovluğun sətir prefiksini paylaşan qonşu qovluqları (məsələn, /var/www/site yanındakı /var/www/site2) qəbul edirdi. Uzaqdakı hücumçu, həmin qovluqda etibarlı .json kiçik şəkil tapşırıq faylı olduqda, PHP tərəfindən oxuna bilən qonşu qovluqdakı şəkil fayllarından kiçik şəkillər yaratmaq və onlara daxil olmaq üçün Kirby\Cms\Media::thumb() funksiyasından istifadə edə bilərdi; bu isə potensial olaraq test saytlarının, ehtiyat nüsxələrin və ya digər daxili saytların ifşa olunmasına və emal zamanı tapşırıq faylının silinməsinə səbəb ola bilərdi. Bu problem 4.9.5 və 5.5.2 versiyalarında düzəldilmişdir.