CVE-2025-34281 in ThingsBoard
要約
〜によって VulDB • 2026年05月23日
v4.2.1 より前のバージョンのThingsBoardでは、認証済みユーザーが「画像ギャラリー」経由で悪意のあるSVG画像をアップロードでき、これにより格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が生じます。この脆弱性は、悪意のあるSVG画像の公開APIエンドポイントに任意のユーザーがアクセスした場合、または、これらの悪意のある画像がウィジェット作成時にプラットフォームの任意のページ（例：ダッシュボード）にデプロイされた`iframe`要素に埋め込まれ、通常の操作中にアクセスされた場合にトリガーされます。この脆弱性は`ImageController`に存在し、ユーザーのブラウザが画像を読み込む際にJavaScriptコードの実行を制限しないことが原因です。この脆弱性により、他のユーザーのセッションのコンテキスト内で悪意のあるコードが実行される可能性があり、それらのアカウントが侵害され、不正な操作が可能になる可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.