PT-2024-29570 · Xibo · Xibo

Sergey Bobrov · Publicado 2024-07-30 · Atualizado 2024-08-23 · CVE-2024-41803

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Xibo anteriores à 3.3.12

Versões do Xibo anteriores à 4.0.14

Descrição

Foi detectada uma vulnerabilidade de injeção de SQL nas rotas da API do Xibo, um sistema de gerenciamento de conteúdo, especificamente nos componentes responsáveis pela filtragem de conjuntos de dados (DataSets). Isso permite que um usuário autenticado obtenha dados arbitrários do banco de dados do Xibo injetando valores especialmente criados na API para visualização de dados do DataSet.

Recomendações

Para versões anteriores à 3.3.12, atualize para a versão 3.3.12 para resolver o problema.

Para versões anteriores à 4.0.14, atualize para a versão 4.0.14 para resolver o problema.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-41803

GHSA-HPC5-MXFQ-44HV

Produtos afetados

Xibo

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/41xxx/CVE-2024-41803.json · Exploit
• https://github.com/xibosignage/xibo-cms/commit/39a2fd54b3f08831b0004aa2015bd8a753bc567f.patch · Aviso do Fabricante
• https://github.com/xibosignage/xibo-cms/security/advisories/GHSA-hpc5-mxfq-44hv · Aviso do Fabricante
• https://xibosignage.com/blog/security-advisory-2024-07 · Aviso do Fabricante
• https://t.me/cvenotify/88048 · Publicação no Telegram
• https://t.me/cvedetector/2044 · Publicação no Telegram
• https://t.me/cvenotify/91884 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-41803 · Nota de Segurança
• https://t.me/cvenotify/87935 · Publicação no Telegram
• https://t.me/black4fan/10 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-41803 · Aviso do Fabricante