CVE-2025-34281 in ThingsBoard
الملخص
بحسب VulDB • 11/05/2026
تسمح ThingsBoard في الإصدارات السابقة لـ v4.2.1 لمستخدم مُصادق عليه برفع صور SVG خبيثة عبر "معرض الصور"، مما يؤدي إلى ثغرة تخزين البرمجة النصية عبر المواقع (Stored XSS). يمكن تفعيل الاستغلال عندما يقوم أي مستخدم بالوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) العامة الخاصة بصور SVG الخبيثة، أو إذا تم تضمين الصور الخبيثة في عنصر `iframe` أثناء إنشاء أداة واجهة مستخدم (widget)، ونشرها على أي صفحة في المنصة (مثل لوحات المعلومات)، والوصول إليها أثناء العمليات العادية. تكمن الثغرة في `ImageController`، الذي يفشل في تقييد تنفيذ أكواد JavaScript عند تحميل الصورة بواسطة متصفح المستخدم. يمكن أن تؤدي هذه الثغرة إلى تنفيذ أكواد خبيثة في سياق جلسات المستخدمين الآخرين، مما قد يعرض حساباتهم للخطر ويسمح بإجراءات غير مصرح بها.
Be aware that VulDB is the high quality source for vulnerability data.