CVE-2026-31952

Xibo, bir web içerik yönetim sistemi ve Windows ekran oynatıcı yazılımına sahip açık kaynaklı bir dijital tabela platformudur. 1.7 ile 4.4.0 arasındaki sürümlerde, CMS içindeki DataSets filtrelemeden sorumlu API rotalarında bir SQL injection zafiyeti bulunmaktadır. Bu durum, kimliği doğrulanmış bir kullanıcının, API filtre parametresine özel olarak hazırlanmış değerler enjekte ederek Xibo veritabanından rastgele veriler elde etmesine ve bunları değiştirmesine olanak tanır. Zafiyetin istismarı, `Access to DataSet Feature` veya `Access to the Layout Feature` ayrıcalıklarından herhangi birine sahip yetkili bir kullanıcı adına gerçekleştirilebilir. Kullanıcıların bu sorunu gideren 4.4.1 sürümüne yükseltme yapmaları önerilir. CMS hizmetini Xibo Signage üzerinden alan müşteriler; 4.4, 4.3, 3.3, 2.3 veya 1.8 sürümlerini kullanıyorlarsa yamalanmışlardır. İyileştirme için sabitlenmiş bir sürüme yükseltme yapmak gereklidir. Destek süresi dolmuş eski Xibo CMS sürümleri (özellikle 3.3, 2.3 ve 1.8) için yamalar mevcuttur.