CVE-2025-34281 in ThingsBoard
Riassunto
di VulDB • 18/06/2026
ThingsBoard nelle versioni precedenti alla v4.2.1 consente a un utente autenticato di caricare immagini SVG malevole tramite la "Galleria Immagini", portando a una vulnerabilità di Stored Cross-Site Scripting (XSS). L'exploit può essere attivato quando qualsiasi utente accede all'endpoint dell'API pubblica delle immagini SVG malevole, o se le immagini malevole sono incorporate in un elemento `iframe`, durante la creazione di un widget, distribuito su qualsiasi pagina della piattaforma (ad esempio dashboard), e viene accesso durante il normale funzionamento. La vulnerabilità risiede nell'`ImageController`, che non riesce a limitare l'esecuzione del codice JavaScript quando un'immagine è caricata dal browser dell'utente. Questa vulnerabilità può portare all'esecuzione di codice malevole nel contesto delle sessioni di altri utenti, potenzialmente compromettendo i loro account e consentendo azioni non autorizzate.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.