CVE-2025-30159

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Kirby الأقدم من 3.9.8.3

إصدارات Kirby الأقدم من 3.10.1.2

إصدارات Kirby الأقدم من 4.7.1

الوصف:

تؤثر ثغرة أمنية في Kirby على المواقع التي تستخدم المساعد snippet() أو الطريقة $kirby->snippet() مع اسم مقتطف ديناميكي، مما يسمح للمهاجمين بالتنقل والوصول إلى جميع الملفات الموجودة على الخادم التي كانت متاحة لعملية PHP. ويشمل ذلك الملفات الموجودة خارج المجلد الجذري للـ«snippets» أو حتى خارج تثبيت Kirby، مع تنفيذ كود PHP الموجود في هذه الملفات. يتطلب الهجوم وجود ثغرة في كود الموقع ناتجة عن أسماء «snippets» ديناميكية ومعرفة ببنية الموقع ونظام ملفات الخادم. وقد يؤدي ذلك إلى الإضرار بسرية وسلامة الخادم.

التوصيات:

بالنسبة للإصدارات الأقدم من 3.9.8.3، قم بالتحديث إلى Kirby 3.9.8.3 أو إصدار أحدث.

بالنسبة للإصدارات الأقدم من 3.10.1.2، قم بالتحديث إلى Kirby 3.10.1.2 أو إصدار أحدث.

بالنسبة للإصدارات الأقدم من 4.7.1، قم بالتحديث إلى Kirby 4.7.1 أو إصدار أحدث.

كحل مؤقت، يُنصح بتجنب استخدام أسماء المقتطفات الديناميكية مع المساعد snippet() أو الطريقة $kirby->snippet() حتى يتم تطبيق تصحيح لهذا الخطأ.