CVE-2025-30207
Açıklama
Kirby, açık kaynaklı bir içerik yönetim sistemidir. 3.9.8.3, 3.10.1.2 ve 4.7.1 öncesindeki sürümlerde bulunan bir güvenlik açığı, PHP'nin yerleşik sunucusunu kullanan tüm Kirby kurulumlarını etkilemektedir. Bu tür kurulumlar genellikle yalnızca yerel geliştirme sırasında kullanılır. Diğer sunucu yazılımlarını (Apache, nginx veya Caddy gibi) kullanan siteler etkilenmemektedir. Eksik bir path traversal kontrolü, saldırganların Kirby kurulumunun dışındaki dosyalar da dahil olmak üzere, PHP sürecinin erişebildiği sunucudaki tüm dosyalarda gezinmesine izin vermekteydi. Güvenlik açığı içeren uygulama, belge kök dizininin dışındaki mevcut dosyalar da dahil olmak üzere tüm mevcut dosyaları PHP'ye devretmekteydi. Bu durum, saldırganların istenen dosyanın var olup olmadığını belirlemesine olanak tanıyan farklı bir yanıta yol açmaktadır. Kirby'nin yönlendiricisi bu tür istekleri yalnızca PHP'ye devrettiği ve bunları yükleyip çalıştırmadığı için, PHP belge kök dizininin dışındaki dosya isteklerini geçersiz olarak değerlendirdiğinden dosyaların içeriği açığa çıkmamıştır. Sorun Kirby 3.9.8.3, Kirby 3.10.1.2 ve Kirby 4.7.1 sürümlerinde düzeltilmiştir. Bahsedilen tüm sürümlerde, Kirby yöneticileri yönlendiriciyi, mevcut statik dosyaların belge kökü içinde olup olmadığını kontrol edecek şekilde güncellemiştir. Belge kökünün dışındaki dosyalara yapılan istekler hata sayfası sayfa istekleri olarak değerlendirilecek ve artık dosyanın var olup olmadığının belirlenmesine izin verilmeyecektir.
Nasıl düzeltilir
- getkirby kirby3.9.8.3, 3.10.1.2, 4.7.1 ya da sonraki bir sürüm
- getkirby/cms3.9.8.3, 3.10.1.2, 4.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getkirby kirby | v < 3.9.8.3, 3.10.0 ≤ v < 3.10.1.2, 4.0.0 ≤ v < 4.7.1 | 3.9.8.3, 3.10.1.2, 4.7.1 |
| getkirby/cmsPackagist | v < 3.9.8.3, 3.10.0 ≤ v < 3.10.1.2, 4.0.0 ≤ v < 4.7.1 | 3.9.8.3, 3.10.1.2, 4.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.