CVE-2025-34281 in ThingsBoard
요약
\~에 의해 VulDB • 2026. 05. 23.
v4.2.1 이전 버전의 ThingsBoard에서는 인증된 사용자가 '이미지 갤러리'를 통해 악성 SVG 이미지를 업로드할 수 있으며, 이로 인해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 발생합니다. 이 악성 SVG 이미지의 공개 API 엔드포인트에 임의의 사용자가 접근하거나, 악성 이미지가 위젯 생성 시 플랫폼의 모든 페이지(예: 대시보드)에 배포된 `iframe` 요소에 임베딩되어 일반 운영 중 접근될 때 익스플로잇이 트리거될 수 있습니다. 이 취약점은 `ImageController`에 존재하며, 사용자의 브라우저가 이미지를 로드할 때 JavaScript 코드 실행을 제한하지 못합니다. 이 취약점으로 인해 다른 사용자의 세션 컨텍스트에서 악성 코드가 실행될 수 있으며, 이는 해당 계정의 침해와 무단 작업 수행으로 이어질 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.