Kirby 在 PHP 内置服务器的路由器中存在路径遍历漏洞

该路径遍历漏洞允许攻击者在 getkirby/cms 使用 PHP 内置服务器时，访问文件系统中的任意文件。攻击者可以读取服务器上的敏感信息，例如配置文件、数据库凭据或源代码。由于该漏洞仅影响使用 PHP 内置服务器的开发环境，因此生产环境通常不受影响。然而，如果开发环境与生产环境共享代码或配置，则可能存在风险。攻击者可能通过构造恶意的URL请求来触发此漏洞，例如包含 .. 和 / 路径分隔符的请求。

Developers and system administrators using getkirby/cms in local development environments with PHP's built-in web server are at the highest risk. Shared hosting environments that default to PHP's built-in server for development purposes are also potentially vulnerable. Those using Kirby CMS for local testing or prototyping are particularly susceptible.

• php: Check for the presence of router.php in the document root and verify that PHP's built-in web server is not enabled in production.

ps aux | grep -i php-fpm

• generic web: Examine access logs for unusual file requests containing .. sequences.

grep '../' /var/log/apache2/access.log

1. 2025-05-13Disclosure

   disclosure

最后更新

5.4.2最近

1. 已保留2025-03-18
2. 发布日期2025-05-13
3. EPSS 更新日期2026-03-23

最有效的缓解措施是升级 getkirby/cms 至 3.9.8.3 或更高版本。如果无法立即升级，则应避免在 getkirby/cms 中使用 PHP 内置服务器。建议使用 Apache、Nginx 或 Caddy 等专业的 Web 服务器。如果必须使用 PHP 内置服务器进行开发，请确保限制其访问权限，并定期审查文件系统中的敏感文件。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止恶意的路径遍历请求。