CVE-2024-29022
Açıklama
Xibo, bir web içerik yönetim sistemi ve Windows ekran oynatıcı yazılımına sahip Açık Kaynaklı bir Dijital Tabela platformudur. Etkilenen sürümlerde, bazı istek başlıkları oturum ve ekran tablolarında saklanırken doğru şekilde temizlenmemektedir. Bu başlıklar, oturum kimliklerini (session ID) ve Kullanıcı Aracelerini (User Agent) sızdırmak amacıyla oturum sayfasına kötü amaçlı bir betik enjekte etmek için kullanılabilir. Bu oturum kimlikleri / Kullanıcı Araceleri daha sonra aktif oturumları ele geçirmek için kullanılabilir. Ekranlarla ilgili bilgileri sızdırmak için ekran ızgarasına kötü amaçlı bir betik enjekte edilebilir. Kullanıcıların bu sorunu gideren 3.3.10 veya 4.0.9 sürümüne yükseltme yapmaları gerekir. CMS'lerini Xibo Signage hizmetinde barındıran müşteriler, çalıştırdıkları CMS sürümünden bağımsız olarak bu sorunu çözmek için halihazırda bir yükseltme veya yama almışlardır. İyileştirme için sabitlenmiş bir sürüme yükseltme yapmak gereklidir. Güvenlik desteği sona ermiş olan eski Xibo CMS sürümleri için yamalar mevcuttur: 2.3 yaması ebeccd000b51f00b9a25f56a2f252d6812ebf850.diff, 1.8 yaması a81044e6ccdd92cc967e34c125bd8162432e51bc.diff. Bu sorun için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xibosignage xibo-cms | >=1.8.0, < 3.3.10, >= 4.0.0, < 4.0.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.