CVE-2026-31955

Xibo veb məzmun idarəetmə sistemi və Windows displey pleyer proqram təminatına malik açıq mənbəli rəqəmsal reklam platformasıdır. 4.4.1 versiyasından əvvəlki versiyalarda mövcud olan autentifikasiya olunmuş Server-Side Request Forgery (SSRF) zəifliyi, DataSet icazələrinə malik istifadəçilərə CMS serverindən daxili və ya xarici şəbəkə resurslarına ixtiyari HTTP sorğuları göndərməyə imkan verir. Bu, daxili infrastrukturu skan etmək, yerli bulud metadata son nöqtələrinə (məsələn, AWS IMDS) giriş əldə etmək, autentifikasiyası olmayan daxili xidmətlərlə qarşılıqlı əlaqə qurmaq və ya məlumatları sızdırmaq üçün istismar edilə bilər. Zəifliyin istismarı, standart olaraq admin olmayanlara verilməyən həm aşağıdakı imtiyazlara malik olan səlahiyyətli istifadəçi adından mümkündür: Layout-lara müstəqil şəkildə əlavə DataSets yaradılmasına imkan vermək üçün "Add DataSet" düyməsini daxil etmək. İstifadəçilər bu problemi aradan qaldıran 4.4.1 versiyasına yüksəltmə etməlidirlər. Problemi həll etmək üçün düzəliş edilmiş versiyaya yüksəltmə vacibdir. Yüksəltmə edə bilməyən istifadəçilər belə imtiyazları etibar etmədikləri istifadəçilərdən geri almalıdırlar.