CVE-2021-41252

Kirby açık kaynaklı bir dosya yapılı CMS'dir. ### Etki Kirby'nin writer alanı, biçimlendirilmiş içeriğini HTML kodu olarak saklar. Diğer alan türlerinin aksine, siteler arası betik çalıştırma (XSS) saldırılarına karşı HTML özel karakterlerini kaçırmak mümkün değildir; aksi takdirde biçimlendirme kaybolur. Kullanıcı Panel'e giriş yapmışsa, zararlı bir betik örneğin kurbanın izinleriyle Kirby'nin API'sine istekler tetikleyebilir. Writer alanı içerikleri kaydedilirken güvenli bir şekilde temizlemediği için, Panel'i kullanmadan doğrudan Kirby'nin API'sine göndererek içerik dosyasına kötü amaçlı HTML kodu enjekte etmek mümkündürdü. Bu kötü amaçlı HTML kodu daha sonra site ön yüzünde görüntülenir ve siteyi ziyaret edenlerin yanı sıra giriş yapmış kullanıcıların tarayıcılarında çalıştırılırdı. Saldırganların bu zafiyeti istismar edebilmeleri için kimliği doğrulanmış Panel kullanıcıları grubunuzda olmaları gerekir. Writer alanını kullanmayan kullanıcılar etkilenmemektedir. Bu sorun, içerik Kirby'nin API'si aracılığıyla her değiştirildiğinde tüm writer alanı içerikleri arka uçta temizlenerek Kirby 3.5.8 sürümünde düzeltilmiştir. Zafiyeti gidermek için lütfen bu sürüme veya daha yeni bir sürüme güncelleyin.