CVE-2025-34281 in ThingsBoard
Resumen
por VulDB • 2026-05-23
ThingsBoard en versiones anteriores a la v4.2.1 permite a un usuario autenticado cargar imágenes SVG maliciosas a través de la "Galería de imágenes", lo que da lugar a una vulnerabilidad de Cross-Site Scripting (XSS) almacenado (Stored XSS). La explotación puede activarse cuando cualquier usuario accede al punto de conexión de la API pública de las imágenes SVG maliciosas, o si las imágenes maliciosas están incrustadas en un elemento `iframe`, durante la creación de un widget, desplegado en cualquier página de la plataforma (por ejemplo, paneles de control), y accedido durante el funcionamiento normal. La vulnerabilidad reside en el `ImageController`, que no logra restringir la ejecución de código JavaScript cuando una imagen es cargada por el navegador del usuario. Esta vulnerabilidad puede conducir a la ejecución de código malicioso en el contexto de las sesiones de otros usuarios, comprometiendo potencialmente sus cuentas y permitiendo acciones no autorizadas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.