🇰🇷 한글 설명
Xibo는 웹 기반 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어로 구성된 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.3 이전 버전에서는 POST /displaygroup/criteria/{displayGroupId} 엔드포인트에 권한 검사가 누락되어, 인증된 사용자가 XMR을 통해 임의의 디스플레이에 criteria 업데이트를 전송할 수 있습니다. 이로 인해 스케줄 변경과 재생 내용 조작이 가능하며, 이 취약점은 CMS에서 Schedule Criteria 기능을 사용하는 경우에만 악용됩니다.
💡 쉬운 설명
로그인한 일반 사용자가 권한 없이 디지털 간판의 재생 조건을 바꿀 수 있는 문제입니다. 예를 들어 비 오는 날에만 나와야 할 광고가 맑은 날에도 표시되도록 만들 수 있습니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing authorization on `POST /displaygroup/criteria/{displayGroupId}` allows an authenticated user to send criteria updates to any display via `XMR`. These criteria determine schedule changes and can alter playback, for example by causing content scheduled for rainy weather to play when it is not raining. Exploitation requires `Schedule Criteria` to be in use on the CMS. This issue is fixed in version 4.4.3.
📍 영향받는 시스템
Xibo CMS 4.4.3 미만 버전 (Schedule Criteria 사용 시)
⚔️ 공격 벡터
인증된 사용자가 POST /displaygroup/criteria/{displayGroupId} 요청을 보내 XMR로 대상 디스플레이의 criteria를 변경
🛡️ 대응 방법
Xibo CMS를 4.4.3 이상 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 4.4.3 미만이면 취약하며, 4.4.3 이상이면 패치된 상태입니다. 결과가 없으면 설치 경로를 확인하세요.
grep -rhoE 'Version[^0-9]*[0-9]+\.[0-9]+\.[0-9]+' /var/www/xibo/web/ 2>/dev/null | head -n 1