PT-2025-49282 · Advantech · Wise-Deviceon Server

Alex Williams · CVE-2025-34261 · Publicado 2025-12-05 · Atualizado 2025-12-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Advantech WISE-DeviceOn Server versões anteriores à 5.4

Descrição O software contém uma vulnerabilidade de cross-site scripting (XSS) armazenado no endpoint da API /rmm/v1/devicegroups/. Um atacante pode injetar scripts maliciosos nos campos name e description ao criar um grupo de dispositivos. Esse script é então executado no navegador dos usuários que visualizam o grupo de dispositivos afetado, podendo levar ao comprometimento da sessão e a ações não autorizadas. O problema ocorre porque o software não sanitiza corretamente o HTML ao armazenar e renderizar esses valores nas listagens de grupos de dispositivos.

Recomendações Atualize para a versão 5.4 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-34261

Produtos afetados

Wise-Deviceon Server

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2025-34261 · Nota de Segurança
• https://advcloudfiles.advantech.com/cms/2ca1b071-fd78-4d7f-8a2a-7b4537a95d19/Security%20Advisory%20PDF%20File/SECURITY-ADVISORY----DeviceOn.pdf · Correção, Aviso do Fabricante
• https://twitter.com/CVEnew/status/1997000982299812227 · Publicação no Twitter
• https://advcloudfiles.advantech.com/cms/2ca1b071-fd78-4d7f-8a2a-7b4537a95d19/Security%20Advisory%20PDF%20File/SECURITY-ADVISORY----DeviceOn-20251208-2.pdf · Correção, Aviso do Fabricante
• https://vulncheck.com/advisories/advantech-wise-deviceon-server-authenticated-stored-xss-via-devicegroups · Nota
• https://osv.dev/vulnerability/CVE-2025-34261 · Aviso do Fabricante
• https://docs.deviceon.advantech.com/docs/resource · Nota