CVE-2026-31956

W platformie Xibo przed wersją 4.4.3 brakuje autoryzacji w endpoincie POST /displaygroup/criteria/{displayGroupId}, co pozwala uwierzytelnionemu użytkownikowi wysyłać aktualizacje kryteriów do dowolnego displaya przez XMR. Kryteria te wpływają na harmonogram i mogą zmieniać odtwarzanie treści. Problem naprawiono w wersji 4.4.3.

W platformie Xibo przed wersją 4.4.3 brakuje kontroli dostępu w endpoincie GET /layout/status/{id}, co pozwala uwierzytelnionemu użytkownikowi z dowolnymi uprawnieniami przeglądać status i metadane dowolnego layoutu, w tym tych, do których nie ma prawa wglądu. Problem naprawiono w wersji 4.4.3.

W platformie Xibo przed wersją 4.4.3 brakuje autoryzacji na poziomie obiektu w endpoincie /notification/export/{id}, co pozwala uwierzytelnionemu użytkownikowi pobierać załączniki z dowolnych powiadomień, w tym utworzonych przez administratorów, poprzez iterowanie po kolejnych identyfikatorach. Wymaga to dostępu do Notification Centre, który standardowo mają także nie-administratorzy. Problem naprawiono w wersji 4.4.3.

W platformie Xibo w wersjach przed 4.4.3 brakuje kontroli dostępu dla żądań PUT/DELETE /action/{id}, co pozwala uwierzytelnionemu użytkownikowi modyfikować lub usuwać akcje w dowolnym Layoutcie. Standardowe uprawnienia przyznawane użytkownikom niebędącym administratorami wystarczają do wykorzystania podatności.

Podatność w platformie Xibo (wersje przed 4.4.3) polega na braku kontroli dostępu do endpointu GET /dataset/export/csv/{id}. Uwierzytelniony użytkownik może eksportować dane z dowolnego zestawu danych, w tym utworzonych przez administratorów, poprzez iterowanie po sekwencyjnych identyfikatorach. Wymaga to uprawnienia do edycji i usuwania wszystkich zestawów danych, które standardowo nie jest przyznawane użytkownikom niebędącym administratorami.

Xibo to platforma cyfrowych tablic ogłoszeniowych z systemem zarządzania treścią. Przed wersją 4.4.3 brak autoryzacji w Module::settingsForm pozwala na podgląd (bez zmiany) ustawień modułu zastrzeżonych dla super administratora oraz ujawnienie pełnej encji modułu. Wykorzystanie podatności jest możliwe przez autoryzowanego użytkownika z dostępem do funkcji Module View, która standardowo nie jest przyznawana nie-administratorom. Użytkownicy powinni zaktualizować do wersji 4.4.3, która naprawia ten problem. Aktualizacja do wersji z poprawką jest konieczna. Użytkownicy, którzy nie mogą zaktualizować, powinni odebrać takie uprawnienia użytkownikom, którym nie ufają.

Xibo przed wersją 4.4.1 zawiera uwierzytelnioną podatność SSRF, która pozwala użytkownikom z uprawnieniami DataSet na wykonywanie dowolnych żądań HTTP z serwera CMS do zasobów wewnętrznych lub zewnętrznych. Można to wykorzystać do skanowania infrastruktury, dostępu do metadanych chmury (np. AWS IMDS) lub eksfiltracji danych.

Xibo (platforma digital signage z systemem CMS i odtwarzaczem dla Windows) w wersjach przed 4.4.1 zawiera podatność przechowywanego XSS. Uwierzytelniony użytkownik z uprawnieniami do tworzenia powiadomień może wstrzyknąć dowolny JavaScript do treści powiadomienia. Gdy powiadomienie jest ustawione jako „interrupt”, ładunek wykonuje się automatycznie w przeglądarce każdego docelowego użytkownika przy logowaniu, bez interakcji użytkownika. Wymaga to uprawnień do Notification Centre i przycisku „Add Notification”, które nie są standardowo przyznawane nieadministratorom. Naprawiono w wersji 4.4.1.