CVE-2025-41089: Отражённый XSS в Xibo CMS

Я обнаружил уязвимость Reflected Cross-Site Scripting (XSS) в Xibo CMS v4.1.2. Проблема связана с тем, что приложение не выполняет надлежащую санитизацию пользовательского ввода в поле 'Configuration Name' определённых виджетов в редакторе шаблонов.

Злоумышленник может создать специальную ссылку или инициировать действие, которое внедряет вредоносный скрипт в это поле. Когда пользователь взаимодействует с затронутой страницей, скрипт отражается с сервера и выполняется в браузере жертвы.

---

Proof of Concept (PoC)

Чтобы вызвать уязвимость, аутентифицированный пользователь должен выполнить следующие шаги:

1. Перейти в раздел Design > Templates и создать новый шаблон.
2. Добавить виджет, содержащий поле 'Configuration Name', например виджет 'Clock'.
3. В поле 'Configuration Name' (расположенном на левой панели) вставить вредоносную XSS-нагрузку (например, <script>alert(1337)</script>).
4. Когда форма будет отправлена или страница перезагружена с этими данными в URL или теле POST-запроса, сервер отразит нагрузку обратно в браузер, что приведёт к выполнению скрипта.

---

Эксплуатация и воздействие

В отличие от Stored XSS, нагрузка Reflected XSS не сохраняется в базе данных. На следующем изображении показан скомпрометированный компонент: