PT-2026-34813 · Xibo · Xibo

Swarnimbandekar · Publicado 2026-04-24 · Atualizado 2026-04-25 · CVE-2026-31955

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Xibo versões anteriores a 4.4.1

Descrição Um Server-Side Request Forgery (SSRF) autenticado permite que usuários com permissões de DataSet façam requisições HTTP arbitrárias do servidor CMS para recursos de rede internos ou externos. Isso pode ser utilizado para escanear a infraestrutura interna, acessar endpoints de metadados de nuvem local, como AWS IMDS, interagir com serviços internos sem autenticação ou exfiltrar dados. A exploração requer que um usuário autorizado possua o privilégio de usar o botão "Add DataSet" para criar DataSets adicionais independentemente para Layouts.

Recomendações Atualizar para a versão 4.4.1. Revogar o privilégio de usar o botão "Add DataSet" de usuários não confiáveis como uma medida paliativa temporária.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-31955

Produtos afetados

Xibo

Referências · 5

• https://github.com/xibosignage/xibo-cms/security/advisories/GHSA-5q58-9vhx-xg2p · Aviso do Fabricante
• https://github.com/xibosignage/xibo-cms/releases/tag/4.4.1 · Nota
• https://twitter.com/CVEnew/status/2048099344289497136 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-31955 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2048101231164301560 · Publicação no Twitter