CVE-2025-41088: تخزين البرمجة النصية عبر المواقع (XSS) في نظام إدارة المحتوى (CMS) | Kitploit

CVE-2025-41088

متوسطتم النشر

تخزين البرمجة النصية عبر المواقع (XSS) في نظام إدارة المحتوى (CMS)

تم النشر: 10‏/10‏/2025
محدث: 10‏/10‏/2025
تخصيص CNA: INCIBE
الأدلة المرصودة: 28‏/08‏/2026

CVSS الأساسي

5.1/ 10متوسط

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

تقدير احتمالية EPSS

0.4‎%‎

منخفض · الثلاثين يومًا القادمة

المئوية: 30.2‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

# ثغرة البرمجة النصية عبر المواقع المخزنة (XSS) في Xibo CMS الإصدار 4.1.2 من Xibo Signage بسبب عدم وجود تحقق مناسب من مدخلات المستخدم. لاستغلال الثغرة، يجب على المهاجم إنشاء قالب في قسم 'Templates'، ثم إضافة عنصر نصي في قسم 'Global Elements'، وأخيرًا تعديل حقل 'Text' في القسم بالحمولة الخبيثة.

المصادر

CVE-2025-41088PoC
ثغرة برمجة نصية عبر المواقع مخزّنة (Stored Cross-Site Scripting / XSS) في Xibo CMS v4.1.2 الخاص بـ Xibo Signage، وذلك بسبب عدم التحقق السليم من مدخلات المستخدم.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.