CVE-2026-31953 Xibo存储型跨站脚本漏洞

Xibo开源数字标牌平台4.4.1之前版本存在存储型XSS漏洞。具有通知创建权限的认证用户可在通知正文中注入恶意脚本。当通知设为“中断”模式时，脚本将在目标用户登录时自动执行，无需交互。攻击者可借此窃取会话凭证或执行未授权操作。

该漏洞源于Xibo CMS在处理通知内容时对用户输入的过滤机制存在缺陷。攻击者需要具备特定的权限组合：访问通知中心以及使用“添加通知”按钮的权限，这些权限通常默认仅授予管理员用户。利用该漏洞时，攻击者首先登录系统，通过通知管理界面创建新通知。在编辑通知正文时，攻击者注入恶意的JavaScript代码。最关键的利用步骤是将该通知属性设置为“Interrupt”（中断）。在此配置下，系统会强制向用户展示该通知，且无需用户进行任何点击或确认操作（UI:N）。当任何拥有查看通知权限的目标用户登录系统时，存储在服务端的恶意脚本即被加载并在其浏览器上下文中自动执行。由于漏洞影响范围被标记为S:C（Scope Changed），攻击者可以利用受害者的会话令牌访问系统中的其他功能，造成数据泄露或完整性破坏。