CVE-2023-33178 in Xibo
Tóm tắt
Bởi VulDB • 24/05/2026
Xibo là một hệ thống quản lý nội dung (CMS). Một lỗ hổng SQL injection đã được phát hiện trong tuyến API `/dataset/data/{id}` bên trong CMS, bắt đầu từ phiên bản 1.4.0 và các phiên bản trước 2.3.17 và 3.3.5. Điều này cho phép một người dùng đã xác thực trích xuất dữ liệu từ cơ sở dữ liệu Xibo bằng cách tiêm các giá trị được tạo ra đặc biệt vào tham số `filter`. Các giá trị được phép trong tham số filter được kiểm tra đối chiếu với một danh sách từ chối (deny list) các lệnh không nên được cho phép, tuy nhiên việc kiểm tra này được thực hiện theo cách phân biệt chữ hoa chữ thường (case sensitive), do đó có thể vượt qua các kiểm tra này bằng cách sử dụng các tổ hợp chữ hoa/chữ thường không thông thường. Người dùng nên nâng cấp lên phiên bản 2.3.17 hoặc 3.3.5, các phiên bản này khắc phục sự cố này. Không có giải pháp tạm thời nào khác ngoài việc nâng cấp.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.