CVE-2026-45368

Kirby, açık kaynaklı bir içerik yönetim sistemidir. 4.9.1 ve 5.4.1 öncesindeki sürümlerde, KirbyTags ve image blocks bileşenleri için kullanılan temel URL yöntemleri, betik çalıştırılmasına yol açan kötü amaçlı URL değerlerini filtrelememektedir. Bu güvenlik açığı, editör tarafından sağlanan alan değerlerinden `<a href="…">` çıktısı üreten dört birinci taraf Kirby oluşturucusunu etkilemektedir: (`link: …)` KirbyTag'i, bilinen bir dosyaya veya `self` ifadesine çözümlenmediğinde `(image: …)` KirbyTag'inin `link`: parametresi, yerleşik image block'un `link` alanı ve `blocks` alanı için HTML içe aktarıcısı (bu özellik, image block `link` alanı ile aynı kötü amaçlı girdileri kabul etmektedir). Basit `javascript:` URL'leri, göreli bir yol olarak değerlendirilip başına tek bir eğik çizgi eklenerek zaten devre dışı bırakılmış olsa da, `javascript://x%0A…` formatındaki URL'lerin kullanımı bu korumayı atlatmaktadır. `vbscript:`, `data:`, `livescript:`, `mocha:` ve `jar:` şemaları da aynı temel boşluktan etkilenmektedir. Bu sorun 4.9.1 ve 5.4.1 sürümlerinde düzeltilmiştir.