CVE-2025-34281 in ThingsBoard
Zusammenfassung
von VulDB • 15.05.2026
In ThingsBoard, nelle versioni precedenti alla v4.2.1, un utente autenticato può caricare immagini SVG dannose tramite la "Galleria Immagini", causando una vulnerabilità di Stored Cross-Site Scripting (XSS). L'exploit può essere attivato quando qualsiasi utente accede all'endpoint dell'API pubblica delle immagini SVG dannose, oppure se le immagini dannose sono incorporate in un elemento `iframe` durante la creazione di un widget, distribuito su qualsiasi pagina della piattaforma (ad esempio, dashboard), e viene acceduto durante le operazioni normali. La vulnerabilità risiede nel `ImageController`, che non riesce a limitare l'esecuzione di codice JavaScript quando un'immagine viene caricata dal browser dell'utente. Questa vulnerabilità può portare all'esecuzione di codice dannoso nel contesto delle sessioni di altri utenti, potenzialmente compromettendo i loro account e consentendo azioni non autorizzate.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.