CVE-2025-34281
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
ThingsBoard w wersjach przed v4.2.1 pozwala uwierzytelnionemu użytkownikowi na przesłanie złośliwych obrazów SVG poprzez Galerię Obrazów, co prowadzi do przechowywanego XSS. Exploit może zostać uruchomiony, gdy inny użytkownik uzyska dostęp do publicznego punktu API lub osadzi obraz w iframe podczas tworzenia widgetu. Podatność wynika z braku ograniczenia wykonywania kodu JavaScript w ImageController.
Ocena ryzyka
Atakujący może wykonać złośliwy kod w kontekście sesji innych użytkowników, potencjalnie przejmując ich konta i wykonując nieautoryzowane działania. Może to prowadzić do naruszenia bezpieczeństwa platformy.
Rekomendacja
Zaktualizuj ThingsBoard do wersji v4.2.1 lub nowszej. Do czasu aktualizacji ogranicz możliwość przesyłania obrazów SVG lub wdróż walidację zawartości.
Inne podatności w ThingsBoard
Zobacz wszystkie- CVE-2026-36537Krytyczne
Wersja ThingsBoard v4.3.0.1 jest podatna na obejście uwierzytelniania podczas wymiany kodu autoryzacyjnego OAuth. Aplikacja niewłaściwie ufa danym tożsamości dostarczonym przez użytkownika w parametrze użytkownika na końcówce /login/oauth2/code/.
- CVE-2025-34282Krytyczne
Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.
- CVE-2026-53676Wysokie
ThingsBoard zawiera podatność na zanieczyszczenie prototypu, która może prowadzić do wykonania dowolnego kodu w kontekście piaskownicy przez użytkownika posiadającego uprawnienia administratora najemcy (TENANT_ADMIN).
- CVE-2026-9568Średnie
W ThingsBoard do wersji 4.3.1.1 wykryto podatność w funkcji getGatewayDockerComposeFile w pliku /api/v1/provision (komponent YAML Handler), umożliwiającą wstrzyknięcie kodu. Atak zdalny jest możliwy, ale trudny do przeprowadzenia.
- CVE-2022-45608Wysokie
W ThingsBoard 3.4.1 odkryto podatność, która umożliwia niskouprzywilejowanym atakującym (CUSTOMER_USER) eskalację uprawnień do poziomu administratora (TENANT_ADMIN lub SYS_ADMIN). Atak wymaga znajomości odpowiedniego parametru API (authority: value).
Oryginalny opis (angielski, źródło NVD)
ThingsBoard in versions prior to v4.2.1 allows an authenticated user to upload malicious SVG images via the "Image Gallery", leading to a Stored Cross-Site Scripting (XSS) vulnerability. The exploit can be triggered when any user accesses the public API endpoint of the malicious SVG images, or if the malicious images are embedded in an `iframe` element, during a widget creation, deployed to any page of the platform (e.g., dashboards), and accessed during normal operations. The vulnerability resides in the `ImageController`, which fails to restrict the execution of JavaScript code when an image is loaded by the user's browser. This vulnerability can lead to the execution of malicious code in the context of other users' sessions, potentially compromising their accounts and allowing unauthorized actions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS