CVE-2025-41089: XSS Reflejado en Xibo CMS

He descubierto una vulnerabilidad de Cross-Site Scripting (XSS) Reflejado en Xibo CMS v4.1.2. Este problema se origina por la falta de saneamiento adecuado de la entrada proporcionada por el usuario en el campo 'Configuration Name' de ciertos widgets dentro del editor de plantillas.

Un atacante puede crear un enlace especial o desencadenar una acción que inyecte un script malicioso en este campo. Cuando un usuario interactúa con la página afectada, el script se refleja desde el servidor y se ejecuta en el navegador de la víctima.

---

Prueba de Concepto (PoC)

Para desencadenar la vulnerabilidad, un usuario autenticado debe seguir estos pasos:

1. Navegar a la sección Design > Templates y crear una nueva plantilla.
2. Añadir un widget que contenga un campo 'Configuration Name', como el widget 'Clock'.
3. En el campo 'Configuration Name' (ubicado en el panel izquierdo), insertar una carga útil XSS maliciosa (por ejemplo, <script>alert(1337)</script>).
4. Cuando se envía el formulario o la página se recarga con estos datos en la URL o en el cuerpo POST, el servidor reflejará la carga útil de vuelta al navegador, provocando la ejecución del script.

---

Explotación e Impacto

A diferencia del XSS Almacenado, una carga útil de XSS Reflejado no se almacena en la base de datos. La siguiente imagen muestra el componente comprometido: