Vulnerabilidad en Kirby (CVE-2025-31493)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-22
Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)
Fecha de publicación:
13/05/2025
Última modificación:
26/08/2025
Descripción
Kirby es un sistema de gestión de contenido de código abierto. Una vulnerabilidad en versiones anteriores a 3.9.8.3, 3.10.1.2 y 4.7.1 afecta a todos los sitios de Kirby que usan el asistente `collection()` o el método `$kirby->collection()` con un nombre de colección dinámico (como un nombre de colección que depende de la solicitud o los datos del usuario). Los sitios que solo usan llamadas fijas al asistente `collection()`/método `$kirby->collection()` (es decir, llamadas con una cadena simple para el nombre de la colección) *no* se ven afectados. La falta de una comprobación de path traversal permitió a los atacantes navegar y acceder a todos los archivos en el servidor a los que tenía acceso el proceso PHP, incluyendo archivos fuera del root de las colecciones o incluso fuera de la instalación de Kirby. Se ejecutó el código PHP dentro de dichos archivos. Dichos ataques primero requieren un vector de ataque en el código del sitio que es causado por nombres de colecciones dinámicos, como `collection('tags-' . get('tags'))`. Generalmente, también requiere que el atacante conozca la estructura del sitio y el sistema de archivos del servidor, aunque es posible encontrar configuraciones vulnerables mediante métodos automatizados como el fuzzing. En una configuración vulnerable, esto podría dañar la confidencialidad e integridad del servidor. El problema se ha corregido en Kirby 3.9.8.3, Kirby 3.10.1.2 y Kirby 4.7.1. En todas las versiones mencionadas, los desarrolladores de Kirby han añadido una comprobación de la ruta de la colección que garantiza que la ruta resultante esté dentro del root de las colecciones configurada. Las rutas de colección que apunten fuera del root de las colecciones no se cargarán.
Impacto
Puntuación base 4.0
6.30
Gravedad 4.0
MEDIA
Puntuación base 3.x
9.10
Gravedad 3.x
CRÍTICA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:getkirby:kirby:*:*:*:*:*:*:*:* | 3.9.8.3 (excluyendo) | |
| cpe:2.3:a:getkirby:kirby:*:*:*:*:*:*:*:* | 3.10.0 (incluyendo) | 3.10.1.2 (excluyendo) |
| cpe:2.3:a:getkirby:kirby:*:*:*:*:*:*:*:* | 4.0.0 (incluyendo) | 4.7.1 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página