CVE-2026-75594

总结

Kirby 是一个开源内容管理系统。在 4.9.5 和 5.5.2 版本之前（取决于发布线），Kirby 在 src/Cms/Media.php 中的媒体处理器允许 Kirby\Cms\Media::thumb() 将包含路径的文件名附加到经过验证的父媒体目录中。在 nginx、PHP 内置服务器或启用了 AllowEncodedSlashes 的 Apache 上，远程攻击者可以在文件名中提交诸如 %2f 之类的编码斜杠字符，从而越界遍历父媒体目录。针对存在和不存在的缩略图配置的响应差异，会泄露任意 .json 文件是否存在；而包含有效文件名键的 .json 文件可能导致引用的图像被返回，同时作业文件被删除。src/Filesystem/Asset.php 中相关的 file::version 路径也接受了预期索引根目录之外的 ../ 序列。此问题已在 4.9.5 和 5.5.2 版本中修复。

• security-research研究

  我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）