CVE-2025-34258

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na trwałe skrypty krzyżowe (Stored XSS) w punkcie końcowym /rmm/v1/plugin-config/addins/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis menu AddIns, wartości label i path są przechowywane w konfiguracji wtyczki i później renderowane w interfejsie AddIns bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie wykonuje się w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z dotkniętym wpisem AddIns, potencjalnie umożliwiając przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/rule-engines. Gdy uwierzytelniony użytkownik tworzy lub aktualizuje regułę dla agenta, pola reguły min, max i unit są przechowywane i później wyświetlane na listach reguł lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego lub więcej z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z daną regułą, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/dog/{agentId}. Gdy uwierzytelniony użytkownik dodaje lub edytuje reguły procesu Software Watchdog dla agenta, nazwa monitorowanego procesu jest przechowywana w tablicy ustawień i później wyświetlana w interfejsie Software Watchdog bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy procesu, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danymi regułami, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/plugin-config/dashboards/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis pulpitu nawigacyjnego, wartości label i path są przechowywane w danych konfiguracyjnych wtyczki i później wyświetlane w interfejsie pulpitu nawigacyjnego bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do któregokolwiek z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym pulpitem nawigacyjnym, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devices/name/{agent_id}. Gdy uwierzytelniony użytkownik zmienia nazwę urządzenia, wartość new_name jest przechowywana i później wyświetlana na listach urządzeń lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy urządzenia, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym urządzeniem, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicegroups/. Gdy uwierzytelniony użytkownik tworzy grupę urządzeń, wartości name i description są przechowywane i później wyświetlane w listach grup urządzeń bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z grupą urządzeń.

Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność typu stored XSS w punkcie końcowym /rmm/v1/action/schedule. Nazwa harmonogramu dodawanego przez uwierzytelnionego użytkownika jest zapisywana i wyświetlana bez sanityzacji HTML, co pozwala wstrzyknąć złośliwy skrypt.

Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicemap/building. Gdy uwierzytelniony użytkownik tworzy wpis mapy, parametr name jest przechowywany i później wyświetlany w interfejsie listy map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy wpisu mapy, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z wpisem mapy.

Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność na przechowywany atak XSS w punkcie końcowym /rmm/v1/action/defined. Gdy uwierzytelniony użytkownik tworzy zadanie, wartość defined_name jest przechowywana i później renderowana na stronie przeglądu bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkowników przeglądających zadanie.