CVE-2026-44177

Kirby, açık kaynaklı bir içerik yönetim sistemidir. 5.3.0 ve üzeri ancak 5.4.1 öncesindeki sürümlerde Kirby, sağlanan kullanıcı kimliğini (user ID) doğru şekilde doğrulamamış ve bu durum bir path traversal zafiyetine yol açmıştır. 5.3.0 sürümü, Users koleksiyonuna, kullanıcı nesnelerini ilk ihtiyaç duyulduğunda lazy load yöntemiyle yükleyen bir performans iyileştirmesi getirmiştir. Kullanıcılar ID'leri üzerinden sorgulanmış ve bu ID daha sonra site/accounts altındaki ilgili hesap dizinini bulmak için kullanılmıştır. Bu durum; kimlik doğrulama API'sini (kimlik doğrulanmamış isteklere açıktır), kullanıcılar API'sini (yalnızca kimlik doğrulanmış kullanıcılara açıktır) ve istek tarafından sağlanan e-posta veya ID ile tekil bir kullanıcıyı aramak için $users->find() fonksiyonunu kullanan diğer tüm alanları etkilemiştir. Sonuç olarak, bir saldırgan index.php isimli dosyaların (örneğin eklentilerin ana PHP dosyaları) rastgele PHP dosya dahil edilmesini (PHP file inclusion) tetikleyebilir; bunun etkisi söz konusu dosyaların içerdiği mantığa bağlıdır. Ayrıca sunucudaki rastgele dizinlerin varlığının araştırılmasına izin vererek, saldırganların yüklü eklentiler ve içerik yapısı da dahil olmak üzere sunucu ve site kurulumunun parmak izini çıkarmasına olanak tanımıştır. Bu sorun 5.4.1 sürümünde düzeltilmiştir.