CVE-2023-33180
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W systemie zarządzania treścią Xibo odkryto podatność na wstrzykiwanie SQL w API `/display/map`, która występuje od wersji 3.2.0 do 3.3.2. Umożliwia to uwierzytelnionemu użytkownikowi wykradanie danych z bazy danych Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości w parametrze `bounds`.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych w bazie danych, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 3.3.5, która naprawia tę podatność. Nie ma znanych obejść poza aktualizacją.
Oryginalny opis (angielski, źródło NVD)
Xibo is a content management system (CMS). An SQL injection vulnerability was discovered starting in version 3.2.0 and prior to version 3.3.2 in the `/display/map` API route inside the CMS. This allows an authenticated user to exfiltrate data from the Xibo database by injecting specially crafted values in to the `bounds` parameter. Users should upgrade to version 3.3.5, which fixes this issue. There are no known workarounds aside from upgrading.