Xibo — это платформа цифровых вывесок с открытым исходным кодом и системой управления веб-контентом (CMS). До версии 4.1.0 межсайтовая уязв…

Xibo — это платформа цифровых вывесок с открытым исходным кодом и системой управления веб-контентом (CMS). До версии 4.1.0 межсайтовая уязвимость сценариев в Xibo CMS позволяет авторизованным пользователям выполнять произвольный JavaScript через функцию предварительного просмотра файлов. Пользователи могут загружать файлы HTML/CSS/JS в библиотеку Xibo через модуль Generic File для ссылки на дисплеях и в макетах. Это предполагаемая функциональность. При предварительном просмотре этих ресурсов из библиотеки и редактора макетов они выполняются в браузере пользователя. Это будет отключено в будущих выпусках, и пользователям рекомендуется использовать новые инструменты разработчика в 4.1 для разработки своих виджетов, требующих такого типа функциональности. Это поведение было изменено в 4.1.0 для предварительного просмотра общих файлов. Для этой проблемы нет обходных путей.