🇰🇷 한글 설명
Xibo는 웹 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어를 갖춘 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.1 이전 버전에서 알림 생성 권한을 가진 인증된 사용자가 알림 본문에 임의의 JavaScript를 삽입할 수 있는 저장형 XSS 취약점이 존재하며, 알림이 '인터럽트'로 설정되면 대상 사용자가 로그인할 때 사용자 상호작용 없이 자동 실행됩니다.
💡 쉬운 설명
권한이 있는 사용자가 알림 메시지에 악성 코드를 숨길 수 있습니다. 피해자가 로그인하는 순간 그 코드가 자동으로 실행되어 클릭 없이도 공격이 이루어집니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. A stored Cross-Site Scripting (XSS) vulnerability in versions prior to 4.4.1 allows an authenticated user with notification creation permissions to inject arbitrary JavaScript into the notification body. When the notification is set as an "interrupt," the payload executes automatically in the browser of any targeted user upon login, requiring zero user interaction. Exploitation of the vulnerability is possible on behalf of an authorized user who has both of the following privileges, which are not granted to non-admins as standard: Access to the Notification Centre to view past notifications, and include "Add Notification" button to allow for the creation of new notifications. Users should upgrade to version 4.4.1 which fixes this issue. Upgrading to a fixed version is necessary to remediate. Users unable to upgrade should revoke such privileges from users they do not trust.
📍 영향받는 시스템
Xibo 4.4.1 미만 버전 (Xibo CMS 웹 관리 시스템)
⚔️ 공격 벡터
알림 센터 조회 및 알림 추가 권한을 가진 인증 사용자가 인터럽트 알림 본문에 JavaScript를 저장하여 대상 사용자 로그인 시 자동 실행
🛡️ 대응 방법
Xibo 4.4.1 이상으로 업그레이드하고, 업그레이드가 불가능하면 신뢰하지 않는 사용자의 알림 관련 권한을 회수
🔧 검증 코드
출력된 버전 문자열이 4.4.1 미만이면 취약하며, 4.4.1 이상이면 패치가 적용된 것입니다 (설치 경로에 따라 명령어 경로 수정 필요).
grep -rn -i 'version' /var/www/xibo/web/index.php /opt/xibo/ 2>/dev/null | grep -Ei '4\.[0-9]+\.[0-9]+' | head -5