🇰🇷 한글 설명
Xibo는 웹 기반 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어를 포함한 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.3 이전 버전에서는 GET /layout/status/{id} 엔드포인트에 접근 권한 검증이 누락되어, 인증된 사용자가 조회 권한이 없는 레이아웃의 상태 및 메타데이터를 열람할 수 있습니다. 이 문제는 4.4.3 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 일반 사용자라도 본인에게 권한이 없는 디지털 화면 콘텐츠의 상태 정보를 볼 수 있는 취약점입니다. 실제 콘텐츠 내용은 아니지만 메타데이터가 노출될 수 있습니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing access-control checks on `GET /layout/status/{id}` allow an authenticated user with any privileges to view the `status and metadata` of any layout, including layouts for which the user does not have view rights. This issue is fixed in version 4.4.3.
📍 영향받는 시스템
Xibo 4.4.3 미만 버전
⚔️ 공격 벡터
인증된 임의의 권한 사용자가 GET /layout/status/{id} 요청에 다른 레이아웃 ID를 넣어 상태 및 메타데이터를 조회
🛡️ 대응 방법
Xibo를 4.4.3 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 4.4.3 미만이면 취약, 4.4.3 이상이면 패치된 것이며, 아무 결과도 없으면 설치 경로를 직접 확인해야 합니다.
grep -rhoE 'Xibo[^0-9]*[0-9]+\.[0-9]+\.[0-9]+' /var/www 2>/dev/null | head -n 1