CVE-2025-31493

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Kirby الأقدم من 3.9.8.3

إصدارات Kirby الأقدم من 3.10.1.2

إصدارات Kirby الأقدم من 4.7.1

الوصف:

تؤثر ثغرة أمنية في Kirby على المواقع التي تستخدم المساعد collection() أو الطريقة $kirby->collection() مع اسم مجموعة ديناميكي، مما يسمح للمهاجمين بالتنقل والوصول إلى جميع الملفات الموجودة على الخادم التي كانت متاحة لعملية PHP. ويشمل ذلك الملفات الموجودة خارج جذر المجموعات أو حتى خارج تثبيت Kirby، مع تنفيذ كود PHP الموجود داخل هذه الملفات. يتطلب الهجوم وجود ثغرة في كود الموقع ناتجة عن أسماء المجموعات الديناميكية، بالإضافة إلى معرفة بنية الموقع ونظام ملفات الخادم. ومع ذلك، من الممكن العثور على إعدادات معرضة للخطر باستخدام طرق آلية، مثل فوزينغ. وقد يؤدي ذلك إلى الإضرار بسرية وسلامة الخادم.

التوصيات:

بالنسبة للإصدارات الأقدم من 3.9.8.3، قم بالتحديث إلى Kirby 3.9.8.3 أو إصدار أحدث.

بالنسبة للإصدارات الأقدم من 3.10.1.2، قم بالتحديث إلى Kirby 3.10.1.2 أو إصدار أحدث.

بالنسبة للإصدارات الأقدم من 4.7.1، قم بالتحديث إلى Kirby 4.7.1 أو إصدار أحدث.

كحل بديل مؤقت، يُنصح بتجنب استخدام أسماء المجموعات الديناميكية في المساعد collection() أو في الأسلوب $kirby->collection() حتى يتم تطبيق تصحيح.