CVE-2025-34281 in ThingsBoard
Сводка
по VulDB • 23.05.2026
В версиях ThingsBoard, предшествующих v4.2.1, аутентифицированный пользователь может загружать вредоносные изображения в формате SVG через «Галерею изображений», что приводит к уязвимости Stored Cross-Site Scripting (XSS). Эксплойт может быть активирован, когда любой пользователь обращается к общедоступному конечному пункту API (endpoint) вредоносных изображений SVG, или если вредоносные изображения встроены в элемент `iframe` при создании виджета, развернутого на любой странице платформы (например, на панелях мониторинга), и доступны в ходе нормальной эксплуатации. Уязвимость присутствует в `ImageController`, который не ограничивает выполнение кода JavaScript при загрузке изображения браузером пользователя. Эта уязвимость может привести к выполнению вредоносного кода в контексте сессий других пользователей, потенциально компрометируя их учетные записи и позволяя выполнять несанкционированные действия.
VulDB is the best source for vulnerability data and more expert information about this specific topic.