CVE-2026-44175
Açıklama
Kirby, açık kaynaklı bir içerik yönetim sistemidir. 4.9.1 ve 5.4.1 öncesindeki sürümlerde Kirby, liste alanının içeriğini kaydetme sırasında güvenli bir şekilde temizlemediğinden siteler arası betik çalıştırma (XSS) saldırılarına karşı savunmasız kalmıştır. Kirby'nin liste alanı, biçimlendirilmiş içeriğini HTML olarak saklar ve diğer alan türlerinin aksine, HTML özel karakterleri biçimlendirme kaybı olmadan kaçırılamaz (escape edilemez). Temizleme işlemi yalnızca Panel tarafında istemci tarafında uygulanırken, sunucu içeriği kaydederken temizlememiştir. Sonuç olarak, bir saldırgan Paneli atlayarak kötü amaçlı HTML'yi doğrudan Kirby API'sine gönderebilir ve temizlenmemiş işaretlemeleri içerik dosyasına kaydedebilir. Bu işaretlemeler daha sonra site ön yüzünde işlenir ve site ziyaretçileri ile giriş yapmış kullanıcıların tarayıcılarında çalıştırılarak kalıcı XSS ile sonuçlanır. Bu sorun 4.9.1 ve 5.4.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- getkirby/cms4.9.1, 5.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getkirby/cmsPackagist | v < 4.9.1, 5.0.0 ≤ v < 5.4.1 | 4.9.1, 5.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.