CVE-2026-31953

Xibo, bir web içerik yönetim sistemi ve Windows ekran oynatıcı yazılımına sahip açık kaynaklı bir dijital tabela platformudur. 4.4.1 öncesi sürümlerde bulunan saklı bir Siteler Arası Betik Çalıştırma (XSS) zafiyeti, bildirim oluşturma izinlerine sahip kimliği doğrulanmış bir kullanıcının, bildirim gövdesine rastgele JavaScript enjekte etmesine olanak tanır. Bildirim bir "kesinti" (interrupt) olarak ayarlandığında, yük (payload), hedeflenen herhangi bir kullanıcının tarayıcısında giriş yapıldığında otomatik olarak çalışır ve hiçbir kullanıcı etkileşimi gerektirmez. Zafiyetin istismarı, standart olarak yönetici olmayanlara verilmeyen şu iki ayrıcalığa birden sahip yetkili bir kullanıcı adına mümkündür: Geçmiş bildirimleri görüntülemek için Notification Centre erişimi ve yeni bildirimlerin oluşturulmasına izin veren "Add Notification" düğmesinin dahil edilmesi. Kullanıcılar, bu sorunu gideren 4.4.1 sürümüne yükseltmelidir. İyileştirme için sabitlenmiş bir sürüme yükseltme yapmak gereklidir. Yükseltme yapamayan kullanıcılar, güvenmedikleri kullanıcılardan bu tür ayrıcalıkları geri almalıdır.