CVE-2026-32870

Kirby, açık kaynaklı bir içerik yönetim sistemidir. Kirby'nin `Xml::value()` metodu, `<![CDATA[ ]]>` blokları için özel bir işleme sahiptir. Giriş değeri halihazırda geçerli bir `CDATA` ise, ikinci kez kaçış karakterleri eklenmez ve olduğu gibi geçmesine izin verilir. Ancak, 4.9.0 ve 5.4.0 versiyonlarından önce, bu kontrolü yanıltarak yalnızca geçerli bir `CDATA` bloğu içeren ancak aynı zamanda `CDATA` bloğunun dışında başka yapılandırılmış veriler barındıran değerlerin geçmesine izin vermek mümkündü. Bu yapılandırılmış verilerin de geçişine izin verilerek değer koruması atlatılabilmekteydi. `Xml::value()` metodu; `Xml::tag()`, `Xml::create()` ve `Xml` veri işleyicisi (örneğin `Data::encode($string, 'xml')`) içerisinde kullanılır. Hem savunmasız metodlar hem de veri işleyici Kirby çekirdeğinde kullanılmamaktadır. Bununla birlikte, giriş verilerinden XML dizeleri oluşturmak amacıyla site veya eklenti kodlarında kullanılabilirler. Oluşturulan bu dosyalar, XML şemasına belirli anlamlar atayan başka bir uygulamaya iletilirse, bu sistemin davranışının manipüle edilmesi mümkündür. Site veya eklenti kodunda XML oluşturma işlemi kullanmayan Kirby siteleri etkilenmemektedir. Sorun Kirby 4.9.0 ve Kirby 5.4.0 sürümlerinde düzeltilmiştir. Bahsedilen tüm sürümlerde Kirby, yalnızca tüm dizgenin geçerli `CDATA` bloklarından oluştuğu ve hiçbir yapılandırılmış veri içermediği durumlarda değiştirilmemiş `CDATA` geçişine izin veren ek kontroller eklemiştir. Bu durum, metodun tüm kullanımlarını açıklanan güvenlik açığına karşı korur.