Podatności Kirby CMS

W systemie zarządzania treścią Kirby przed wersjami 4.9.1 i 5.4.1 wykryto podatność polegającą na braku filtrowania złośliwych adresów URL w metodach URL dla komponentów KirbyTags i bloków obrazów. Atakujący może wykorzystać formaty URL, takie jak `javascript://x%0A…`, aby ominąć ochronę przed prostymi `javascript:` URL i doprowadzić do wykonania skryptu.

W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 funkcja blokowania treści ujawniała adres e-mail i identyfikator użytkownika bez sprawdzania uprawnień dostępu. Uwierzytelniony użytkownik z niskimi uprawnieniami mógł poznać dane administratorów i innych użytkowników, którzy aktualnie edytowali model.

W Kirby CMS w wersjach od 5.3.0 do 5.4.0 wykryto podatność na path traversal. System nieprawidłowo walidował identyfikator użytkownika, co pozwalało atakującemu na wczytanie dowolnego pliku PHP o nazwie index.php oraz na badanie struktury katalogów serwera.

W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 nie sprawdzano uprawnienia `pages.access` podczas renderowania wersji roboczych stron. Uwierzytelniony atakujący, znający pełną ścieżkę do istniejącej wersji roboczej, mógł uzyskać dostęp do jej podglądu, co prowadziło do ujawnienia poufnych informacji.

Kirby CMS w wersjach przed 4.9.1 i 5.4.1 nie zabezpiecza poprawnie zawartości pola listy podczas zapisu, co umożliwia atak XSS. Atakujący może ominąć panel administracyjny i przesłać złośliwy kod HTML bezpośrednio do API, który zostanie wykonany w przeglądarkach odwiedzających stronę.

Kirby CMS przed wersjami 4.9.1 i 5.4.1 nie waliduje atrybutów modeli używanych w zapytaniach kolekcji, co pozwala atakującym na wywoływanie dowolnych metod modeli. Może to prowadzić do ujawnienia wrażliwych danych (np. hashy haseł, ścieżek systemowych) lub wykonania destrukcyjnych akcji (np. eskalacji uprawnień, masowego usuwania modeli).

W systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4, gdy opcja content.fileRedirects jest włączona, nieuwierzytelnione żądania do czystych URL-i plików w katalogach wersji roboczych (draft) są przekierowywane do fizycznych adresów URL mediów bez sprawdzania uprawnień dostępu lub tokenów podglądu, co prowadzi do ujawnienia zawartości plików wersji roboczych.

Podatność w systemie zarządzania treścią Kirby przed wersjami 4.9.4 i 5.4.4 umożliwia atak XSS przez przechowywanie złośliwego znacznika HTML/XML w polach edytora lub listy. Atakujący może wstrzyknąć kod, który nie jest poprawnie sanityzowany przez funkcje Dom::sanitize() i podobne.

Podatność w Kirby CMS pozwala na wstrzyknięcie nagłówka HTTP poprzez znaki nowej linii w wartości nagłówka opcji headers w klasie Http Remote. Atakujący może dodać niechciany nagłówek do żądania wychodzącego.

Podatność w systemie zarządzania treścią Kirby umożliwia wstrzyknięcie skryptowego linku jako celu odnośnika w polu edytora writer, co prowadzi do samozwrotnego cross-site scripting (XSS) w panelu administracyjnym. Problem dotyczy wersji przed 4.9.4 i 5.4.4.

Podatność w systemie zarządzania treścią Kirby umożliwia uwierzytelnionym użytkownikom z wyłączonym uprawnieniem pages.access potwierdzanie istnienia niedostępnych stron i odczytywanie ich tytułów za pomocą pola pages. Problem został naprawiony w wersjach 4.9.4 i 5.4.4.

Kirby CMS przed wersjami 4.9.0 i 5.4.0 nie sprawdza uprawnień użytkownika przy tworzeniu, zastępowaniu i usuwaniu awatarów. Każdy użytkownik może modyfikować awatary innych, nawet bez odpowiednich uprawnień.

Podatność w Kirby CMS pozwalała użytkownikom z uprawnieniem `pages.create` na tworzenie stron bezpośrednio w stanie opublikowanym poprzez REST API, z pominięciem wymaganego uprawnienia `pages.changeStatus`. Problem dotyczył wersji przed 4.9.0 i 5.4.0 i został naprawiony poprzez zmianę logiki rozwiązywania zapytań w opcjach blueprintów.

W Kirby CMS w wersjach 5.0.0–5.1.3 atakujący może zmienić tytuł strony lub nazwę użytkownika na złośliwy ciąg znaków, a następnie zmodyfikować pole treści tego samego modelu bez zapisu, przez co model trafia do okna „Changes”. Gdy inny zalogowany użytkownik otworzy to okno w Panelu, złośliwy kod zostaje wykonany. Podatność dotyczy witryn Kirby 5, w których atakujący mogą być zalogowanymi użytkownikami Panelu lub które pozwalają zewnętrznym osobom aktualizować tytuły stron lub nazwy użytkowników.

W systemie zarządzania treścią Kirby wystąpiła podatność związana z brakiem ograniczenia długości hasła w punktach końcowych uwierzytelniania. Atakujący mógł dostarczyć hasło o długości do maksymalnej długości ciała żądania serwera, co mogło prowadzić do obciążenia zasobów CPU i pamięci.

W systemie zarządzania treścią Kirby występuje podatność związana z niewystarczającym wygasaniem sesji, która dotyczy wersji przed 3.5.8.3, 3.6.6.3, 3.7.5.2, 3.8.4.1 i 3.9.6. Umożliwia ona atakującym pozostanie zalogowanym na stronie Kirby nawet po zmianie hasła przez użytkownika.