PT-2025-42641

CVE-2025-34281

Publicado

2025-10-17

Atualizado

2026-02-10

Descrição por

CVSS 4.0

6.2

Média

MétricasAV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:H/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Versões do ThingsBoard anteriores à 4.2.1

Descrição O software contém uma vulnerabilidade de cross-site scripting (XSS) armazenado no recurso de Galeria de Upload de Imagem do dashboard. Um invasor pode carregar um arquivo Scalable Vector Graphics (SVG) contendo JavaScript malicioso. Este JavaScript pode ser executado quando o arquivo é renderizado na interface do usuário. O problema deve-se à sanitização inadequada e à validação imprópria do tipo de conteúdo (content-type) dos arquivos SVG carregados.

Recomendações Atualize para a versão 4.2.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

João Oliveira

Tamil Mathi

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')