CVE-2021-29460

Kirby açık kaynaklı bir CMS'dir. Kirby Panel'e yazma erişimi olan bir editör, `<script>` etiketleri gibi zararlı içerikler barındıran bir SVG dosyası yükleyebilir. Bu dosyanın doğrudan bağlantısı diğer kullanıcılara veya sitenin ziyaretçilerine gönderilebilir. Mağdur, bu bağlantıyı Kirby'ye giriş yapmış olduğu bir tarayıcıda açarsa, betik çalışacak ve örneğin mağdurun izinleriyle Kirby API'sine istekler tetikleyebilecektir. Kimliği doğrulanmış Panel kullanıcıları grubunuzda potansiyel saldırganlar varsa, bir yönetici kullanıcısının Panel oturumuna erişmeleri durumunda yetkilerini yükseltebilecekleri için bu güvenlik açığı kritiktir. Sitenize bağlı olarak, JavaScript tabanlı diğer saldırılar da mümkündür. Panel erişimi olmayan ziyaretçiler, bu saldırı vektörünü yalnızca siteniz ön uç formlarında SVG dosyası yüklemelerine izin veriyorsa ve yüklenen SVG dosyalarını halihazırda temizlemiyorsanız kullanabilirler. Sorun Kirby 3.5.4 sürümünde düzeltilmiştir. Güvenlik açığını gidermek için lütfen bu sürüme veya daha yeni bir sürüme güncelleyin. Ön uç yükleme formlarının, yüklenen dosyaları nasıl sakladıklarına bağlı olarak ayrı ayrı yamalanması gerekir. Eğer `File::create()` kullanıyorsanız, 3.5.4+ sürümüne güncelleyerek korunursunuz. Geçici bir çözüm olarak, dosya blueprint'lerinizde SVG dosyalarının yüklenmesini devre dışı bırakabilirsiniz.