CVE-2026-53676
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
ThingsBoard zawiera podatność na zanieczyszczenie prototypu, która może prowadzić do wykonania dowolnego kodu w kontekście piaskownicy przez użytkownika posiadającego uprawnienia administratora najemcy (TENANT_ADMIN).
Ocena ryzyka
Podatność ta może umożliwić atakującemu wykonanie nieautoryzowanego kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji ThingsBoard oraz ograniczenie dostępu do kont z uprawnieniami administratora najemcy.
Inne podatności w ThingsBoard
Zobacz wszystkie- CVE-2026-36537Krytyczne
Wersja ThingsBoard v4.3.0.1 jest podatna na obejście uwierzytelniania podczas wymiany kodu autoryzacyjnego OAuth. Aplikacja niewłaściwie ufa danym tożsamości dostarczonym przez użytkownika w parametrze użytkownika na końcówce /login/oauth2/code/.
- CVE-2025-34282Krytyczne
Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.
- CVE-2026-9568Średnie
W ThingsBoard do wersji 4.3.1.1 wykryto podatność w funkcji getGatewayDockerComposeFile w pliku /api/v1/provision (komponent YAML Handler), umożliwiającą wstrzyknięcie kodu. Atak zdalny jest możliwy, ale trudny do przeprowadzenia.
- CVE-2025-34281Średnie
ThingsBoard w wersjach przed v4.2.1 pozwala uwierzytelnionemu użytkownikowi na przesłanie złośliwych obrazów SVG poprzez Galerię Obrazów, co prowadzi do przechowywanego XSS. Exploit może zostać uruchomiony, gdy inny użytkownik uzyska dostęp do publicznego punktu API lub osadzi obraz w iframe podczas tworzenia widgetu. Podatność wynika z braku ograniczenia wykonywania kodu JavaScript w ImageController.
- CVE-2022-45608Wysokie
W ThingsBoard 3.4.1 odkryto podatność, która umożliwia niskouprzywilejowanym atakującym (CUSTOMER_USER) eskalację uprawnień do poziomu administratora (TENANT_ADMIN lub SYS_ADMIN). Atak wymaga znajomości odpowiedniego parametru API (authority: value).
Oryginalny opis (angielski, źródło NVD)
ThingsBoard contains a prototype pollution vulnerability which may lead to arbitrary code execution within a sandboxed context by a user who can log in to the affected product with the tenant administrator privilege (TENANT_ADMIN).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS