CVE-2025-34266

Nome do Software Vulnerável e Versões Afetadas Versões do Advantech WISE-DeviceOn Server anteriores à 5.4

Descrição O software contém uma vulnerabilidade de cross-site scripting (XSS) armazenado no endpoint de API /rmm/v1/plugin-config/addins/menus. Um usuário autenticado que adiciona ou edita uma entrada de menu AddIns pode injetar script malicioso nos valores label e path. Esses valores são armazenados nos dados de configuração do plugin e renderizados na interface do usuário (UI) dos AddIns sem a devida sanitização HTML. Isso permite que um atacante execute scripts no contexto do navegador de usuários que visualizam ou interagem com a entrada afetada dos AddIns, potencialmente levando ao comprometimento da sessão e a ações não autorizadas.

Recomendações Atualize para a versão 5.4 ou posterior. Como solução temporária, sanitize cuidadosamente todas as entradas nos parâmetros label e path ao adicionar ou editar entradas de menu dos AddIns.