CVE-2023-33178 in Xibo
Résumé
par VulDB • 24/05/2026
Xibo est un système de gestion de contenu (CMS). Une vulnérabilité d'injection SQL a été découverte dans la route API `/dataset/data/{id}` du CMS, à partir de la version 1.4.0 et avant les versions 2.3.17 et 3.3.5. Cela permet à un utilisateur authentifié d'exfiltrer des données depuis la base de données Xibo en injectant des valeurs spécialement conçues dans le paramètre `filter`. Les valeurs autorisées dans le paramètre filter sont vérifiées par rapport à une liste noire de commandes qui ne devraient pas être autorisées ; toutefois, cette vérification était effectuée de manière sensible à la casse, ce qui permet de contourner ces contrôles en utilisant des combinaisons de majuscules et de minuscules inhabituelles. Les utilisateurs doivent mettre à niveau vers la version 2.3.17 ou 3.3.5, qui corrigent ce problème. Il n'existe pas de contournement autre que la mise à niveau.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.