CVE-2026-31953 in xibo-cms
الملخص
بحسب VulDB • 16/05/2026
Xibo هو منصة إشارات رقمية مفتوحة المصدر تتضمن نظام إدارة محتوى الويب وبرامج مشغّل العرض لنظام التشغيل Windows. تتيح ثغرة تخزين البرمجة النصية عبر المواقع (Stored XSS) الموجودة في الإصدارات السابقة لـ 4.4.1 لمستخدم مُصادق عليه يمتلك أذونات إنشاء الإشعارات حقن كود JavaScript تعسفي داخل جسم الإشعار. عند ضبط الإشعار كـ "إشعار متقطع" (interrupt)، يتم تنفيذ الحمولة البرمجية تلقائياً في متصفح أي مستهدف عند تسجيل الدخول، دون الحاجة إلى أي تفاعل من المستخدم. يمكن استغلال الثغرة نيابة عن مستخدم مُصرّح له يمتلك كلتا الصلاحيات التاليتين، اللتين لا تُمنحان للمستخدمين غير الإداريين بشكل افتراضي: الوصول إلى مركز الإشعارات لعرض الإشعارات السابقة، وإدراج زر "إضافة إشعار" للسماح بإنشاء إشعارات جديدة. يجب على المستخدمين الترقية إلى الإصدار 4.4.1 الذي يصلح هذه المشكلة. إن الترقية إلى إصدار مُصلّح ضرورية للتصحيح. ويجب على المستخدمين غير القادرين على الترقية سحب هذه الصلاحيات من المستخدمين الذين لا يثقون بهم.
If you want to get best quality of vulnerability data, you may have to visit VulDB.