PT-2026-43211 · Xibo Cms · Xibo Cms

CVE-2026-42558 · Publicado 2026-05-26 · Atualizado 2026-06-11

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Xibo CMS versões anteriores a 4.4.2

Description Uma cadeia de vulnerabilidades envolvendo Cross-Site Scripting (XSS) Armazenado e escape de Sandbox de Iframe existe no Xibo CMS. Usuários com permissões de DataSet podem utilizar a funcionalidade do Data Connector para criar mensagens que escapam do sandbox e facilitam o XSS. A exploração requer que um usuário autorizado possua privilégios específicos, como a capacidade de usar o botão "Add DataSet" para criar DataSets independentemente de Layouts, que normalmente não são concedidos a não administradores por padrão.

Recommendations Atualize para a versão 4.4.2. Revogue os privilégios relacionados ao botão "Add DataSet" de usuários não confiáveis como uma mitigação temporária.

Exploit

Correção

XSS

Origin Validation Error

Improper Encoding or Escaping of Output

Enumeração de Fraquezas

CWE-79

CWE-346

CWE-116

Identificadores relacionados

CVE-2026-42558

GHSA-6389-J56C-9FWW

Produtos afetados

Xibo Cms

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/42xxx/CVE-2026-42558.json · Exploit
• https://github.com/xibosignage/xibo-cms/security/advisories/GHSA-6389-j56c-9fww · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42558 · Nota de Segurança
• https://reddit.com/r/CVEWatch/comments/1to2dti/top_10_trending_cves_26052026 · Publicação no Reddit
• https://reddit.com/r/CVEWatch/comments/1tp11qx/top_10_trending_cves_27052026 · Publicação no Reddit
• https://t.me/cveNotify/166968 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-42558 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2065017465365549483 · Publicação no Twitter
• https://reddit.com/r/CVEWatch/comments/1tpz4cf/top_10_trending_cves_28052026 · Publicação no Reddit