Xibo — это платформа цифровых вывесок с открытым исходным кодом с системой управления веб-контентом и программным обеспечением Windows для …

Xibo — это платформа цифровых вывесок с открытым исходным кодом с системой управления веб-контентом и программным обеспечением Windows для отображения. В затронутых версиях некоторые заголовки запросов некорректно очищаются при хранении в сеансе и таблицах отображения. Эти заголовки можно использовать для внедрения вредоносного скрипта на страницу сеанса для извлечения идентификаторов сеансов и агентов пользователя. Эти идентификаторы сеансов / агенты пользователя впоследствии можно использовать для перехвата активных сеансов. Вредоносный скрипт можно внедрить в сетку отображения для извлечения информации, связанной с дисплеями. Пользователям следует обновиться до версии 3.3.10 или 4.0.9, в которых эта проблема исправлена. Клиенты, размещающие свою CMS с помощью службы Xibo Signage, уже получили обновление или исправление для решения этой проблемы независимо от версии CMS, которую они используют. Обновление до исправленной версии необходимо для устранения проблемы. Исправления доступны для более ранних версий Xibo CMS, которые не поддерживаются по безопасности: 2.3 patch ebeccd000b51f00b9a25f56a2f252d6812ebf850.diff. 1.8 patch a81044e6ccdd92cc967e34c125bd8162432e51bc.diff. Известных обходных путей для этой проблемы нет.