CVE-2026-31955

Xibo, bir web içerik yönetim sistemi ve Windows ekran oynatıcı yazılımına sahip açık kaynaklı bir dijital tabela platformudur. 4.4.1 öncesi sürümlerde bulunan kimlik doğrulamalı bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti, DataSet izinlerine sahip kullanıcıların CMS sunucusundan dahili veya harici ağ kaynaklarına rastgele HTTP istekleri yapmasına olanak tanır. Bu durum; dahili altyapıyı taramak, yerel bulut meta veri uç noktalarına (örneğin AWS IMDS) erişmek, kimlik doğrulaması bulunmayan dahili servislerle etkileşime girmek veya veri sızdırmak için istismar edilebilir. Zafiyetin istismarı, standart olarak yönetici olmayan kullanıcılara verilmeyen şu iki ayrıcalığa da sahip yetkili bir kullanıcı adına mümkündür: Düzenlere bağımsız olarak ek Veri Setlerinin oluşturulmasına izin vermek için "Add DataSet" düğmesini dahil etme. Kullanıcılar, bu sorunu gideren 4.4.1 sürümüne yükseltmelidir. İyileştirme için sabitlenmiş bir sürüme yükseltme yapmak gereklidir. Yükseltme yapamayan kullanıcılar, güvenmedikleri kişilerin bu tür ayrıcalıklarını geri almalıdır.