PT-2024-29569 · Xibo · Xibo

Sergey Bobrov · Publicado 2024-07-30 · Atualizado 2024-08-23 · CVE-2024-41802

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Xibo anteriores à 3.3.12

Versões do Xibo anteriores à 4.0.14

Descrição

Foi descoberta uma vulnerabilidade de injeção de SQL nas rotas da API do Xibo, um sistema de gerenciamento de conteúdo, especificamente nos componentes responsáveis pela filtragem de conjuntos de dados (DataSets). Isso permite que um usuário autenticado obtenha e modifique dados arbitrários do banco de dados do Xibo, injetando valores especialmente criados nas APIs para importação de JSON e importação de um layout contendo dados de conjuntos de dados.

Recomendações

Para versões anteriores à 3.3.12, atualize para a versão 3.3.12 para resolver o problema.

Para versões anteriores à 4.0.14, atualize para a versão 4.0.14 para resolver o problema.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-41802

GHSA-X4QM-VVHP-G7C2

Produtos afetados

Xibo

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41802.json · Exploit
• https://github.com/xibosignage/xibo-cms/commit/b7a5899338cd841a39702e3fcaff76aa0ffe4075 · Aviso do Fabricante
• https://github.com/xibosignage/xibo-cms/security/advisories/GHSA-x4qm-vvhp-g7c2 · Aviso do Fabricante
• https://xibosignage.com/blog/security-advisory-2024-07 · Aviso do Fabricante
• https://t.me/cvenotify/87934 · Publicação no Telegram
• https://t.me/cvedetector/2045 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-41802 · Aviso do Fabricante
• https://t.me/black4fan/10 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-41802 · Nota de Segurança
• https://t.me/cvenotify/91883 · Publicação no Telegram
• https://t.me/cvenotify/88047 · Publicação no Telegram