PT-2025-42641 · Unknown · Thingsboard

João Oliveira + 1 · Publicado 2025-10-17 · Atualizado 2026-02-10 · CVE-2025-34281

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.2

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:H/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do ThingsBoard anteriores à 4.2.1

Descrição O software contém uma vulnerabilidade de cross-site scripting (XSS) armazenado no recurso de Galeria de Upload de Imagem do dashboard. Um invasor pode carregar um arquivo Scalable Vector Graphics (SVG) contendo JavaScript malicioso. Este JavaScript pode ser executado quando o arquivo é renderizado na interface do usuário. O problema deve-se à sanitização inadequada e à validação imprópria do tipo de conteúdo (content-type) dos arquivos SVG carregados.

Recomendações Atualize para a versão 4.2.1 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-34281

GHSA-FPQ4-R87V-G246

Produtos afetados

Thingsboard

Referências · 13

• https://github.com/thingsboard/thingsboard/commit/b2ae6f92d12206ea185a2e882945a6b69234bf03 · Correção
• https://github.com/thingsboard/thingsboard · Nota
• https://github.com/thingsboard/thingsboard/releases/tag/v4.2.1 · Correção
• https://github.com/thingsboard/thingsboard/pull/13927 · Correção
• https://advisory.checkmarx.net/advisory/CVE-2025-34281 · Nota
• https://osv.dev/vulnerability/CVE-2025-34281 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-34281 · Nota de Segurança
• https://twitter.com/CVEnew/status/1979289019482521834 · Publicação no Twitter
• https://advisory.checkmarx.net/advisory/CVE-2025-3261 · Nota
• https://osv.dev/vulnerability/GHSA-fpq4-r87v-g246 · Aviso do Fabricante
• https://t.me/cveNotify/151571 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1979312603361943716 · Publicação no Twitter
• https://vulncheck.com/advisories/thingsboard-svg-image-stored-xss · Nota