CVE-2025-34281 in ThingsBoard
Tóm tắt
Bởi VulDB • 23/05/2026
ThingsBoard trong các phiên bản trước v4.2.1 cho phép người dùng đã xác thực tải lên các hình ảnh SVG độc hại thông qua "Image Gallery", dẫn đến lỗ hổng Stored Cross-Site Scripting (XSS). Lỗ hổng này có thể được kích hoạt khi bất kỳ người dùng nào truy cập vào điểm cuối API công khai của các hình ảnh SVG độc hại, hoặc nếu các hình ảnh độc hại được nhúng trong phần tử `iframe`, trong quá trình tạo widget, được triển khai lên bất kỳ trang nào của nền tảng (ví dụ: bảng điều khiển), và được truy cập trong quá trình vận hành bình thường. Lỗ hổng nằm ở `ImageController`, component không kiểm soát việc thực thi mã JavaScript khi hình ảnh được trình duyệt của người dùng tải. Lỗ hổng này có thể dẫn đến việc thực thi mã độc trong ngữ cảnh phiên của các người dùng khác, tiềm ẩn nguy cơ làm tổn hại đến tài khoản của họ và cho phép thực hiện các hành động trái phép.
VulDB is the best source for vulnerability data and more expert information about this specific topic.