Xibo - это платформа цифровых вывесок с открытым исходным кодом с системой управления веб-контентом и программным обеспечением Windows-плее…

Xibo - это платформа цифровых вывесок с открытым исходным кодом с системой управления веб-контентом и программным обеспечением Windows-плеера. Сохранившийся уязвимость Cross-Site Scripting (XSS) в версиях до 4.4.1 позволяет аутентифицированному пользователю с разрешениями на создание уведомлений вводить произвольный JavaScript в орган уведомлений. Когда уведомление устанавливается как «прерор», подобная нагрузка выполняет автоматически в браузере любого целевого пользователя при входе в систему, требуя нулевого взаимодействия с пользователем. Эксплуатация уязвимости возможна от имени авторизованного пользователя, который имеет обе следующие привилегии, которые не предоставляются не-администраторам в стандартной комплектации: Доступ к Центру уведомлений для просмотра прошлых уведомлений и включение кнопки «Добавить уведомление», чтобы обеспечить создание новых уведомлений. Пользователи должны обновиться до версии 4.4.1, которая устраняет эту проблему. Для исправления необходимо обновление до фиксированной версии. Пользователи, которые не могут обновиться, должны отозвать такие привилегии у пользователей, которым они не доверяют.