CVE-2026-41325Kirby CMS在4.9.0和5.4.0版本之前存在严重的权限绕过漏洞。当用户尝试创建页面、文件或用户时，系统未能正确过滤输入数据，允许攻击者注入自定义的动态蓝图配置。这导致原本用于限制操作的权限选项被恶意覆盖，使低权限用户得以绕过安全策略，执行未授权的创建操作，系统面临极高的安全风险。
该漏洞的核心在于Kirby CMS对模型数据中的`blueprint`属性处理不当。在受影响版本中，系统在执行创建操作（如页面、文件、用户）时，会解析请求中的模型数据以确定权限。正常情况下，权限由用户蓝图和目标模型蓝图中的`options`严格定义。然而，攻击者可以在发送创建请求时，构造包含恶意`blueprint`字段的数据包。例如，通过在请求体中注入`{'options': {'create': true}}`，系统在规范化处理阶段会优先采纳这些注入的配置，而不是使用开发者预设的蓝图选项。由于缺乏对`blueprint`属性的过滤，这种动态配置覆盖了原有的权限检查机制（如`pages.create`），从而实现了权限提升。修复版本通过在规范化代码中增加针对`blueprint`属性的过滤器，阻止了此类动态配置的注入。