PT-2026-34805 · Xibo · Xibo

Swarnimbandekar · Publicado 2026-04-24 · Atualizado 2026-04-25 · CVE-2026-31952

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Xibo versões 1.7 até 4.4.0

Descrição Uma injeção de SQL existe nas rotas de API do CMS usadas para filtrar DataSets. Isso permite que um usuário autenticado com o privilégio Access to DataSet Feature ou Access to the Layout Feature obtenha e modifique dados arbitrários do banco de dados ao injetar valores especialmente criados no parâmetro de filtro da API.

Recomendações Atualize para a versão 4.4.1. Para as versões 3.3, 2.3 e 1.8, aplique as correções disponíveis.

Correção

SQL injection

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-89

CWE-184

Identificadores relacionados

CVE-2026-31952

Produtos afetados

Xibo

Referências · 8

• https://github.com/xibosignage/xibo-cms/commit/ed213cb4f42d4f50cf8012e01e95bb70127fc6a4 · Correção
• https://github.com/xibosignage/xibo-cms/releases/tag/4.4.1 · Nota
• https://github.com/xibosignage/xibo-cms/commit/87e0a26b0c06e349561a6becdc00f3bb01259736 · Correção
• https://github.com/xibosignage/xibo-cms/security/advisories/GHSA-rq92-f6fv-3629 · Aviso do Fabricante
• https://github.com/dasgarner/xibo-cms/commit/b8d25fe6cb0232b645c3850afdc2499b0e46c1e6 · Correção
• https://twitter.com/CVEnew/status/2048099347305226265 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-31952 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2048101266778112488 · Publicação no Twitter