CVE-2026-44176

Kirby açık kaynaklı bir içerik yönetim sistemidir. 4.9.1 ve 5.4.1 öncesindeki sürümler, sayfa taslağı oluşturma sırasında `pages.access` iznini kontrol etmemektedir. İzinler, kullanıcı şablonunda (site/blueprints/users/...) her kullanıcı rolü için tanımlanır. Ayrıca seçenekler özelliği kullanılarak model şablonlarındaki (site/blueprints/pages/... gibi) her hedef model için izinleri özelleştirmek mümkündür. İzinler ve seçenekler birlikte kullanıcı eylemlerinin yetkilendirmesini kontrol eder. Kirby, diğerlerinin yanı sıra pages.access ve pages.list izinlerini sağlar. Liste izni, etkilenen modellerin Panel ve REST API genelindeki listelerde görünüp görünmeyeceğini kontrol eder. Erişim izni aynı etkiye sahiptir ancak etkilenen modellere doğrudan erişimi de devre dışı bırakır. Bu güvenlik açığı, ana CMS yönlendiricisi için yol çözücüyü (path resolver) etkilemektedir. Çözücü, istenen URL'den bir giriş yolu alır ve hangi modelin (sayfa veya dosya) işleneceğine karar verir. Bir sayfa taslağını işaret eden bir yol istendiğinde, çözücü isteğin geçerli bir önizleme belirteci içerip içermediğini veya geçerli bir kullanıcı tarafından kimlik doğrulaması yapılıp yapılmadığını kontrol eder. Etkilenen sürümlerde Kirby, herhangi bir geçerli kullanıcı kimliği doğrulanmışsa, bu kullanıcının ilgili sayfa modeline erişimi olmasa bile sayfa taslaklarının işlenmesine izin vermekteydi. Mevcut bir sayfa taslağının tam yolunu bilen kimliği doğrulanmış saldırganlar, işlenen ön uç sayfasına erişebilirdi. Bu durum, örneğin yeni bir ürünün veya gönderinin yayınlanmasından önce hassas bilgilerin ifşa edilmesine yol açabilirdi. Bu sorun 4.9.1 ve 5.4.1 sürümlerinde düzeltilmiştir.