🇰🇷 한글 설명
Xibo 디지털 사이니지 플랫폼 4.4.3 미만 버전에서 Module::settingsForm의 권한 검증 누락으로 인해 발생합니다. 권한이 있는 사용자가 슈퍼 관리자 전용 모듈 설정을 조회하고 전체 모듈 엔티티 정보를 유출할 수 있습니다.
💡 쉬운 설명
일반 사용자가 관리자만 볼 수 있는 중요한 설정 정보를 몰래 훔쳐볼 수 있는 보안 약점입니다. 시스템의 민감한 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing Authorization in Module::settingsForm allows to view (not change) super admin-restricted module settings and leak the full module entity. Exploitation of the vulnerability is possible on behalf of an authorized user who has access to the Module View feature, which are not granted to non-admins as standard. Users should upgrade to version 4.4.3 which fixes this issue. Upgrading to a fixed version is necessary to remediate. Users unable to upgrade should revoke such privileges from users they do not trust.
📍 영향받는 시스템
Xibo digital signage platform versions prior to 4.4.3
⚔️ 공격 벡터
Module View 기능에 접근 권한이 있는 인증된 사용자가 권한 검증을 우회하여 설정 정보 조회
🛡️ 대응 방법
Xibo를 최신 보안 패치가 적용된 버전인 4.4.3 이상으로 업그레이드하거나, 신뢰할 수 없는 사용자의 Module View 권한을 회수하십시오.
🔧 검증 코드
출력 결과에 4.4.3 이상의 버전 번호가 포함되어 있으면 안전하며, 그 미만이면 취약한 상태입니다.
curl -s http://<target_ip>/api/version | grep -E '4.4.3'