CVE-2026-52730

W platformie Xibo przed wersją 4.4.3 brakuje autoryzacji w endpoincie POST /displaygroup/criteria/{displayGroupId}, co pozwala uwierzytelnionemu użytkownikowi wysyłać aktualizacje kryteriów do dowolnego displaya przez XMR. Kryteria te wpływają na harmonogram i mogą zmieniać odtwarzanie treści. Problem naprawiono w wersji 4.4.3.

W platformie Xibo przed wersją 4.4.3 brakuje kontroli dostępu w endpoincie GET /layout/status/{id}, co pozwala uwierzytelnionemu użytkownikowi z dowolnymi uprawnieniami przeglądać status i metadane dowolnego layoutu, w tym tych, do których nie ma prawa wglądu. Problem naprawiono w wersji 4.4.3.

W platformie Xibo przed wersją 4.4.3 brakuje autoryzacji na poziomie obiektu w endpoincie /notification/export/{id}, co pozwala uwierzytelnionemu użytkownikowi pobierać załączniki z dowolnych powiadomień, w tym utworzonych przez administratorów, poprzez iterowanie po kolejnych identyfikatorach. Wymaga to dostępu do Notification Centre, który standardowo mają także nie-administratorzy. Problem naprawiono w wersji 4.4.3.

W platformie Xibo w wersjach przed 4.4.3 brakuje kontroli dostępu dla żądań PUT/DELETE /action/{id}, co pozwala uwierzytelnionemu użytkownikowi modyfikować lub usuwać akcje w dowolnym Layoutcie. Standardowe uprawnienia przyznawane użytkownikom niebędącym administratorami wystarczają do wykorzystania podatności.

Podatność w platformie Xibo (wersje przed 4.4.3) polega na braku kontroli dostępu do endpointu GET /dataset/export/csv/{id}. Uwierzytelniony użytkownik może eksportować dane z dowolnego zestawu danych, w tym utworzonych przez administratorów, poprzez iterowanie po sekwencyjnych identyfikatorach. Wymaga to uprawnienia do edycji i usuwania wszystkich zestawów danych, które standardowo nie jest przyznawane użytkownikom niebędącym administratorami.

Xibo przed wersją 4.4.1 pozwala każdemu uwierzytelnionemu użytkownikowi na ręczne skonstruowanie adresu URL w celu podglądu kampanii i regionów oraz eksportu zapisanych raportów należących do innych użytkowników. Wykorzystanie jest możliwe przez użytkownika z uprawnieniami do stron zarządzania układami, kampaniami lub zapisanymi raportami. Problem naprawiono w wersji 4.4.1.

Xibo przed wersją 4.4.1 zawiera uwierzytelnioną podatność SSRF, która pozwala użytkownikom z uprawnieniami DataSet na wykonywanie dowolnych żądań HTTP z serwera CMS do zasobów wewnętrznych lub zewnętrznych. Można to wykorzystać do skanowania infrastruktury, dostępu do metadanych chmury (np. AWS IMDS) lub eksfiltracji danych.

Xibo (platforma digital signage z systemem CMS i odtwarzaczem dla Windows) w wersjach przed 4.4.1 zawiera podatność przechowywanego XSS. Uwierzytelniony użytkownik z uprawnieniami do tworzenia powiadomień może wstrzyknąć dowolny JavaScript do treści powiadomienia. Gdy powiadomienie jest ustawione jako „interrupt”, ładunek wykonuje się automatycznie w przeglądarce każdego docelowego użytkownika przy logowaniu, bez interakcji użytkownika. Wymaga to uprawnień do Notification Centre i przycisku „Add Notification”, które nie są standardowo przyznawane nieadministratorom. Naprawiono w wersji 4.4.1.