CVE-2026-75592

Kirby açık kaynaklı bir içerik yönetim sistemidir. Sürüm hattına bağlı olarak 4.9.5 ve 5.5.2 sürümlerinden önce Kirby'nin medya işleyicisi; src/Filesystem/Dir.php ve src/Filesystem/F.php dosyalarında, Kirby\Filesystem\Dir::realpath() ve Kirby\Filesystem\F::realpath() aracılığıyla eksik dosya sistemi sınırlama kontrolleri kullanıyordu. Kontroller, tam eşleşme veya bir DIRECTORY_SEPARATOR sınırı gerektirmediği için /var/www/site yanındaki /var/www/site2 gibi hedeflenen kök dizinin dize önekiyle paylaşılan kardeş dizinleri kabul ediyordu. Uzaktaki bir saldırgan, geçerli bir .json küçük resim iş dosyası içerdiğinde, PHP tarafından okunabilir bir kardeş dizindeki görüntü dosyalarından küçük resimler oluşturmak ve bunlara erişmek için Kirby\Cms\Media::thumb() fonksiyonunu kullanabilirdi; bu durum potansiyel olarak hazırlık sitelerini, yedekleri veya diğer dahili siteleri ifşa edebilir ve işlem sırasında iş dosyasını silebilir. Bu sorun 4.9.5 ve 5.5.2 sürümlerinde düzeltilmiştir.