CVE-2026-42141

总结

Xibo 是一个开源数字标牌平台，包含 Web 内容管理系统和 Windows 显示播放器软件。在 4.4.1 之前，Xibo CMS 中存在一个已认证的服务器端请求伪造（SSRF）漏洞，允许具有 Library 上传权限的用户从 CMS 服务器向内部或外部网络资源发起任意 HTTP 请求。该漏洞可被利用来扫描内部基础设施、访问本地云元数据端点（例如 AWS IMDS）、与缺乏身份验证的内部服务进行交互，或窃取数据。此漏洞已在 4.4.1 中修复。

• CVE-2026-42141-xibo-ssrfPoC

  # Xibo CMS 中通过 uploadUrl 端点实现 SSRF 的概念验证 演示通过 uploadUrl 端点对 Xibo CMS 进行 SSRF 攻击，展示经身份验证的服务器端请求伪造，可访问内部资源。