CVE-2023-33178 in Xibo
Sumário
de VulDB • 26/05/2026
O Xibo é um sistema de gerenciamento de conteúdo (CMS). Foi descoberta uma vulnerabilidade de SQL injection na rota da API `/dataset/data/{id}` dentro do CMS, a partir da versão 1.4.0 e nas versões anteriores a 2.3.17 e 3.3.5. Isso permite que um usuário autenticado exfiltre dados do banco de dados do Xibo injetando valores especialmente elaborados no parâmetro `filter`. Os valores permitidos no parâmetro filter são verificados contra uma lista de comandos proibidos (deny list) que não deveriam ser permitidos; no entanto, essa verificação era feita de forma case sensitive (sensível a maiúsculas e minúsculas), o que possibilita burlar essas verificações usando combinações incomuns de maiúsculas e minúsculas. Os usuários devem atualizar para a versão 2.3.17 ou 3.3.5, que corrigem esse problema. Não há soluções alternativas além da atualização.
If you want to get best quality of vulnerability data, you may have to visit VulDB.