🇰🇷 한글 설명
Xibo는 웹 기반 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어를 제공하는 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.3 이전 버전에서 /notification/export/{id} 엔드포인트에 객체 수준 권한 검사가 누락되어, 인증된 일반 사용자가 순차적인 알림 ID를 변경하며 관리자가 생성한 알림을 포함한 모든 알림의 첨부파일을 다운로드할 수 있습니다.
💡 쉬운 설명
로그인한 일반 사용자가 주소의 번호만 바꿔도 다른 사람, 특히 관리자가 보낸 알림 첨부파일을 열어볼 수 있는 문제입니다. 4.4.3 버전에서 수정되었습니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing object-level authorization on `/notification/export/{id}` allows an authenticated user to download attachments from any notification, including notifications created by administrators, by iterating over `sequential notification IDs`. Exploitation requires access to the `Notification Centre` to view past notifications, a privilege granted to non-administrators as standard. This issue is fixed in version 4.4.3.
📍 영향받는 시스템
Xibo 4.4.3 이전 버전 (Xibo 웹 CMS)
⚔️ 공격 벡터
인증된 일반 사용자가 Notification Centre 접근 권한으로 알림 ID를 순차적으로 바꿔 /notification/export/{id} 요청을 보내 타인의 첨부파일을 다운로드
🛡️ 대응 방법
Xibo를 4.4.3 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 4.4.3 미만이면 취약하므로 4.4.3 이상으로 업데이트가 필요하고, 4.4.3 이상이면 수정된 버전입니다.
grep -rh -i 'version' /var/www/xibo/web/config/version.php 2>/dev/null || cat /var/www/xibo/version 2>/dev/null