CVE-2025-41089: XSS Refletido no Xibo CMS

Descobri uma vulnerabilidade de Cross-Site Scripting (XSS) Refletido no Xibo CMS v4.1.2. Este problema decorre da falha da aplicação em sanitizar adequadamente a entrada fornecida pelo utilizador no campo 'Configuration Name' de determinados widgets no editor de modelos.

Um atacante pode criar um link especial ou acionar uma ação que injeta um script malicioso neste campo. Quando um utilizador interage com a página afetada, o script é refletido a partir do servidor e executado no navegador da vítima.

---

Prova de Conceito (PoC)

Para acionar a vulnerabilidade, um utilizador autenticado deve seguir estes passos:

1. Navegue até à secção Design > Templates e crie um novo modelo.
2. Adicione um widget que contenha um campo 'Configuration Name', como o widget 'Clock'.
3. No campo 'Configuration Name' (localizado no painel esquerdo), insira um payload XSS malicioso (por exemplo, <script>alert(1337)</script>).
4. Quando o formulário é submetido ou a página é recarregada com estes dados no URL ou no corpo do POST, o servidor refletirá o payload de volta para o navegador, fazendo com que o script seja executado.

---

Exploração e Impacto

Ao contrário do XSS Armazenado, um payload de XSS Refletido não é armazenado na base de dados. A imagem seguinte mostra o componente comprometido: