JVNDB-2026-013612

xibosignageのxiboにおけるサーバサイドのリクエストフォージェリの脆弱性

Xiboは、ウェブコンテンツ管理システムとWindowsディスプレイプレイヤーソフトウェアを備えたオープンソースのデジタルサイネージプラットフォームです。バージョン4.4.1より前のバージョンには認証済みのサーバーサイドリクエストフォージェリ（SSRF）脆弱性が存在し、DataSet権限を持つユーザーがCMSサーバーから内部または外部のネットワークリソースに任意のHTTPリクエストを送信できます。これを悪用すると、内部インフラのスキャン、ローカルのクラウドメタデータエンドポイント（例：AWS IMDS）へのアクセス、認証がない内部サービスとのやり取り、またはデータの流出が可能になります。この脆弱性は、標準で非管理者には付与されない以下の両方の権限を持つ認可ユーザーによって悪用されます。それは「Add DataSetボタンを含み、追加のDataSetをレイアウトに独立して作成可能にする」権限です。ユーザーはこの問題を修正したバージョン4.4.1にアップグレードする必要があります。修正済みバージョンへのアップグレードは緩和策として必要であり、アップグレードできないユーザーは信頼できないユーザーから該当権限を取り消すべきです。

xibosignage

• xibo 4.4.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authenticated Server-Side Request Forgery (SSRF) in Remote DataSet Functionality  Advisory  xibosignage/xibo-cms  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-31955

1. National Vulnerability Database (NVD) : CVE-2026-31955
2. 関連文書 : Release 4.4.1  xibosignage/xibo-cms  GitHub

• [2026年04月30日]
    掲載