CVE-2023-38490

Kirby bir içerik yönetim sistemidir. 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 ve 3.9.6 öncesindeki sürümlerde bulunan bir güvenlik açığı; yalnızca `Xml` veri işleyicisini (örneğin `Data::decode($string, 'xml')`) veya site ya da eklenti kodundaki `Xml::parse()` metodunu kullanan Kirby sitelerini etkilemektedir. Kirby çekirdeği, etkilenen bu metodların hiçbirini kullanmamaktadır. XML Dış Varlıklar (XXE), XML işaretleme dilinde harici dosyalardan gelen verilerin bir XML yapısına dahil edilmesine izin veren az kullanılan bir özelliktir. Harici dosyanın adı bir saldırgan tarafından kontrol edilebilirse, bu durum sunucuda saklanan dahili veya gizli verilerin ifşası (rastgele dosya ifşası) veya sunucu adına ağ istekleri gerçekleştirilmesi (sunucu taraflı istek sahteciliği, SSRF) gibi çeşitli sistem etkileri için kötüye kullanılabilecek bir güvenlik açığına dönüşür. Kirby'nin `Xml::parse()` metodu, ayrıştırma işlemi sırasında XML dış varlıklarının işlenmesini etkinleştiren PHP'nin `LIBXML_NOENT` sabitini kullanıyordu. `Xml::parse()` metodu, `Xml` veri işleyicisinde (örneğin `Data::decode($string, 'xml')`) kullanılır. Hem savunmasız metod hem de veri işleyicisi Kirby çekirdeğinde kullanılmamaktadır. Ancak bunlar, örneğin RSS beslemelerini veya diğer XML dosyalarını ayrıştırmak için site veya eklenti kodunda kullanılabilir. Eğer bu dosyalar harici bir kaynaktan geliyorsa (örneğin bir kullanıcı tarafından yüklendiyse veya harici bir URL'den alındıysa), saldırganlar XML dosyasına, ayrıştırma sürecinde işlenecek bir dış varlık ekleyebilirler. Site veya eklenti kodunda XML ayrıştırması kullanmayan Kirby siteleri bu durumdan etkilenmez. Sorun Kirby 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 ve 3.9.6 sürümlerinde giderilmiştir. Bahsedilen tüm sürümlerde, dış varlıkların işlenmesi ayrıştırma mantığının kapsamı dışında olduğu için geliştiriciler `LIBXML_NOENT` sabitini kaldırmıştır. Bu işlem, metodun tüm kullanımlarını açıklanan güvenlik açığına karşı korur.