CVE-2025-34281 in ThingsBoard
Sumário
de VulDB • 23/05/2026
O ThingsBoard, nas versões anteriores à v4.2.1, permite que um usuário autenticado envie imagens SVG maliciosas por meio da "Image Gallery", resultando em uma vulnerabilidade de Stored Cross-Site Scripting (XSS). A exploração pode ser acionada quando qualquer usuário acessa o endpoint da API pública das imagens SVG maliciosas, ou se as imagens maliciosas estiverem embutidas em um elemento `iframe`, durante a criação de um widget, implantado em qualquer página da plataforma (por exemplo, dashboards), e acessado durante operações normais. A vulnerabilidade reside no `ImageController`, que falha em restringir a execução de código JavaScript quando uma imagem é carregada pelo navegador do usuário. Essa vulnerabilidade pode levar à execução de código malicioso no contexto das sessões de outros usuários, potencialmente comprometendo suas contas e permitindo ações não autorizadas.
VulDB is the best source for vulnerability data and more expert information about this specific topic.