CVE-2023-38492

Kirby bir içerik yönetim sistemidir. 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 ve 3.9.6 öncesindeki sürümlerde bulunan bir güvenlik açığı, kullanıcı hesaplarına sahip tüm Kirby sitelerini etkilemektedir (config dosyasında Kirby'nin API ve Panel özellikleri devre dışı bırakılmadığı sürece). Bu güvenlik açığının gerçek dünyadaki etkisi sınırlıdır; ancak daha ciddi güvenlik açıklarını da giderdikleri için yama yayınlanan sürümlerden birine güncellenmesi önerilir. Kirby'nin kimlik doğrulama uç noktası şifre uzunluğunu sınırlandırmamaktaydı. Bu durum, saldırganların sunucunun maksimum istek gövdesi uzunluğuna kadar olan bir şifre sağlamasına izin veriyordu. Bu şifrenin kullanıcının gerçek şifresiyle doğrulanması, sağlanan şifrenin özetlenmesini gerektirir; bu işlem ise şifre uzadıkça daha fazla CPU ve bellek kaynağına (ve dolayısıyla işlem süresine) ihtiyaç duyar. Bu durum, bir saldırgan tarafından web sitesinin yanıt vermez hale gelmesine veya erişilemez olmasına neden olmak amacıyla kötüye kullanılabilir. Kirby yerleşik bir kaba kuvvet korumasıyla geldiği için, bu güvenlik açığının etkisi her IP adresi başına saatte 10 başarısız giriş ve mevcut her kullanıcı için saatte 10 başarısız giriş ile sınırlıdır. Sorun Kirby 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 ve 3.9.6 sürümlerinde düzeltilmiştir. Bahsedilen tüm sürümlerde geliştiriciler, hem şifre belirleme hem de giriş yapma sırasında 1000 bayttan uzun şifrelerin anında engellenmesi için etkilenen koda şifre uzunluğu sınırları eklemiştir.