PT-2024-30571 · Xibo · Xibo

Sergey Bobrov · Publicado 2024-09-03 · Atualizado 2024-09-12 · CVE-2024-43413

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Xibo anteriores à 4.1.0

Descrição

Uma vulnerabilidade de cross-site scripting no Xibo CMS permite que usuários autorizados executem JavaScript por meio da funcionalidade DataSet. Isso ocorre quando um usuário cria um DataSet com uma coluna HTML contendo JavaScript, que é então executado na página de entrada de dados e em quaisquer layouts que o referenciem. O comportamento foi alterado na versão 4.1.0 para exibir HTML, CSS e JavaScript como código na página de Entrada de Dados.

Recomendações

Para versões anteriores à 4.1.0, atualize para a versão 4.1.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da funcionalidade DataSet com colunas HTML até que a atualização seja aplicada.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-43413

GHSA-PFXP-VXH7-2H9F

Produtos afetados

Xibo

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/43xxx/CVE-2024-43413.json · Exploit
• https://github.com/xibosignage/xibo-cms/security/advisories/GHSA-pfxp-vxh7-2h9f · Aviso do Fabricante
• https://github.com/xibosignage/xibo-cms/commit/009527855d8bfd0ffb95f5c88ed72b7b5bdebfa1 · Correção
• https://osv.dev/vulnerability/CVE-2024-43413 · Aviso do Fabricante
• https://t.me/cvedetector/4712 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-43413 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1831071350066213368 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1831047925905994232 · Publicação no Twitter