Xibo-CMS-Zip-Slip-RCE-Exploit-CVE-2023-33177

Xibo CMS Zip Slip RCE エクスプロイト CVE-2023-33177 このエクスプロイトは、Xibo CMS CVE-2023-33177 のパストラバーサル脆弱性 を実証し、悪意のあるレイアウトインポートを通じてリモートコード実行を可能にします。 脆弱性の詳細 CVE/アドバイザリ: CVE-2023-33177 影響を受けるバージョン: Xibo CMS 1.8.0 - 2.3.16 Xibo CMS 3.0.0 - 3.3.4 脆弱性タイプ: パストラバーサル Zip Slip 影響: リモートコード実行 RCE 技術的概要 Xibo CMS...

-CVE-2023-33177-

Xibo CMS CVE-2023-33177 脆弱性テスター CVE-2023-33177 の自動セキュリティテストツール - Xibo CMS の Zip Slip パストラバーサル脆弱性によりリモートコード実行 RCE が可能になります。 ⚠️ 免責事項 このツールは教育および許可されたテスト目的のみに使用してください。 自分が所有している、または明示的なテスト許可を得ているシステムでのみ使用してください。 無許可のテストは違法であり、非倫理的です。 📋 説明 Xibo CMS バージョン 1.8.0-2.3.16 および 3.0.0-3.3.4...

CVE-2026-77578

CVE-2026-77578 — Xibo CMS 任意本地文件读取 概述 CVE-2026-77578 是 Xibo CMS 中的一个经过身份验证的任意本地文件读取漏洞。 具有 管理员权限或模块模板访问权限 的已认证用户可以导入一个精心构造的 XML 模板，其中包含带有路径遍历序列的基于路径的资源。随后可以通过模块资源端点访问生成的资源，导致 Xibo 返回所引用本地文件的内容。 受影响版本与已修复版本 受影响： Xibo CMS = 4.4.4 建议的修复措施： 升级到 Xibo CMS 4.4.4 或更高版本。 漏洞详情 CVE： CVE-2026-77578 GHSA：...

CVE-2025-41089

CVE-2025-41089：Xibo CMS 中的反射型 XSS 漏洞 我在 Xibo CMS v4.1.2 中发现了一个反射型跨站脚本（XSS） 漏洞。该问题源于应用程序未能正确清理模板编辑器中某些小部件 'Configuration Name' 字段内用户提供的输入。 攻击者可以构造一个特殊链接或触发某个操作，将恶意脚本注入该字段。当用户与受影响的页面交互时，该脚本会从服务器反射回来并在受害者的浏览器中执行。 概念验证（PoC） 要触发该漏洞，经过身份验证的用户必须执行以下步骤： 1. 导航到 设计 模板 部分并创建一个新模板。 2. 添加一个包含 'Configuration...

CVE-2026-42141-xibo-ssrf

CVE-2026-42141 - XIBO CMS SSRF Xibo CMS 中的 SSRF 漏洞（CVE-2026-42141） 描述 Xibo CMS 通过 uploadUrl 功能存在服务器端请求伪造（SSRF）漏洞。 该漏洞是在对 Xibo CMS 进行安全研究期间发现的。 影响 经过身份验证的用户可以强制服务器向内部资源发起 HTTP 请求。 技术细节 端点：/library/uploadUrl 方法：POST 易受攻击的参数：URL 概念验证 示例请求： POST /library/uploadUrl HTTP/1.1 url=http://localhost 缓解措施 验...

CVE-2025-62369

CVE-2025-62369 PoC このスクリプトは、Xibo CMS の CVE-2025-62369 を悪用して、リバースシェルコマンドを実行します。 作者 名前: Cristian Branet GitHub: cristibtz 使用方法 1. リスナーを起動する nc -lvnp 2. エクスプロイトを実行する python3 exploit.py -u "http://:" -s "" -i -p : Xibo CMS サーバーの IP : Xibo CMS サーバーのポート : あなたの PHP セッション ID : リバースシェルを受信するあなたの IP :...

CVE-2025-41088

CVE-2025-41088: Xibo CMSにおける格納型XSS 私はXibo CMS v4.1.2 に格納型クロスサイトスクリプティング XSSの脆弱性を発見しました。この脆弱性により、認証された攻撃者がユーザー入力の不適切な検証のために悪意のあるスクリプトをアプリケーションに注入できます。 問題は「Templates」機能にあります。攻撃者は悪意のあるペイロードを含むテキスト要素を含むテンプレートを作成できます。このテンプレートが他のユーザーによって表示されると、スクリプトがブラウザで実行され、データの盗難やその他の悪意のある行為につながる可能性があります。 概念実証 PoC...

CVE-2026-52730

Xibo CMS prior to version 4.4.3 contains a missing authorization vulnerability in Module::settingsForm caused by PHP operator precedence . This allows an authenticated user with the Module View feature—which is not granted to non-admins by default—to view (but not change) super admin-restricted m...

CVE-2026-52730 Xibo CMS Missing Authorization in Module::settingsForm due to PHP operator precedence

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing Authorization in Module::settingsForm allows to view not change super admin-restricted module settings and leak the full module entity. Exploitation of...

CVE-2026-52730 Xibo CMS Missing Authorization in Module::settingsForm due to PHP operator precedence

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing Authorization in Module::settingsForm allows to view not change super admin-restricted module settings and leak the full module entity. Exploitation of...

CVE-2026-52730 Xibo CMS Missing Authorization in Module::settingsForm due to PHP operator precedence

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.3, missing Authorization in Module::settingsForm allows to view not change super admin-restricted module settings and leak the full module entity. Exploitation of...

CVE-2026-42558: Improper Neutralization of Input During Web Page Generation

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.2, a vulnerability chain consisting of Stored XSS and Iframe Sandbox escape in the Xibo CMS allows users with DataSet permissions to use the Data Connector...

CVE-2026-42141

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.1, an authenticated Server-Side Request Forgery SSRF vulnerability in the Xibo CMS allows users with Library upload permissions to make arbitrary HTTP requests fr...

CVE-2026-42141

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.1, an authenticated Server-Side Request Forgery SSRF vulnerability in the Xibo CMS allows users with Library upload permissions to make arbitrary HTTP requests fr...

EUVD-2026-29701

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.1, an authenticated Server-Side Request Forgery SSRF vulnerability in the Xibo CMS allows users with Library upload permissions to make arbitrary HTTP requests fr...

CVE-2026-42141 Xibo: Authenticated Server-Side Request Forgery (SSRF) in Library Upload via URL functionality

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.1, an authenticated Server-Side Request Forgery SSRF vulnerability in the Xibo CMS allows users with Library upload permissions to make arbitrary HTTP requests fr...

PT-2026-40251

Xibo is an open source digital signage platform with a web content management system and Windows display player software. Prior to 4.4.1, an authenticated Server-Side Request Forgery SSRF vulnerability in the Xibo CMS allows users with Library upload permissions to make arbitrary HTTP requests fr...

📄 Xibo CMS SSTI / Remote Code Execution

Xibo CMS versions prior to 4.3.1 suffer from an authenticated remote code execution vulnerability via server-side template injection. Exploit Title: Xibo CMS - Authenticated Remote Code Execution via SSTI Date: 2025-11-04 Exploit Author: Cristian Branet Vendor Homepage: https://xibosignage.com/...

Exploit for CVE-2026-42141

CVE-2026-42141 - xibo CMS SSRF SSRF vulnerability in Xibo CMS...

Xibo CMS 4.3.0 - RCE via SSTI

Exploit Title: Xibo CMS - Authenticated Remote Code Execution via SSTI Date: 2025-11-04 Exploit Author: Cristian Branet Vendor Homepage: https://xibosignage.com/ Software Link: https://github.com/xibosignage/xibo-cms/ Version: 4.3.1 Tested on: Linux Ubuntu 22.04 CVE : CVE-2025-62639 Article:...