CVE-2026-40099

Kirby, açık kaynaklı bir içerik yönetim sistemidir. Kirby'nin kullanıcı izinleri, CMS içindeki içerik modellerine yönelik belirli eylemleri hangi kullanıcı rolünün gerçekleştirebileceğini kontrol eder. Bu izinler, kullanıcı şablonunda (`site/blueprints/users/...`) her rol için tanımlanır. Ayrıca, `options` özelliği kullanılarak model şablonlarındaki (örneğin `site/blueprints/pages/...`) her hedef model için izinlerin özelleştirilmesi mümkündür. İzinler ve seçenekler birlikte, kullanıcı eylemlerinin yetkilendirmesini kontrol eder. Sayfalar için Kirby, diğerlerinin yanı sıra `pages.create` ve `pages.changeStatus` izinlerini sağlar. Versiyon 4.9.0 ve 5.4.0 öncesinde Kirby, bu izinleri bağımsız olarak ve yalnızca ilgili eylem için kontrol ediyordu. Ancak `changeStatus` izni sayfa oluşturma sırasında etkili olmuyordu. Yeni sayfalar varsayılan olarak taslak şeklinde oluşturulur ve mevcut bir sayfa taslağının durumunu değiştirerek yayınlanmaları gerekir. Bu durum, sayfa Kirby Panel üzerinden oluşturulduğunda sağlanır. Ancak REST API, yeni bir sayfa oluştururken `isDraft` bayrağının geçersiz kılınmasına izin verir. Bu durum, `pages.create` iznine sahip kimliği doğrulanmış saldırganların, normal editöryal iş akışını atlayarak doğrudan yayınlanmış sayfalar oluşturmasına olanak tanımıştır. Sorun Kirby 4.9.0 ve Kirby 5.4.0 sürümlerinde giderilmiştir. Kirby, sayfa oluşturma kurallarına, `pages.changeStatus` iznine sahip olmayan kullanıcıların yayınlanmış sayfalar değil, yalnızca sayfa taslakları oluşturabilmesini sağlayan bir kontrol eklemiştir.