CVE-2025-34260
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność typu stored XSS w punkcie końcowym /rmm/v1/action/schedule. Nazwa harmonogramu dodawanego przez uwierzytelnionego użytkownika jest zapisywana i wyświetlana bez sanityzacji HTML, co pozwala wstrzyknąć złośliwy skrypt.
Ocena ryzyka
Złośliwy skrypt wykonuje się w przeglądarce użytkowników przeglądających harmonogramy, co może prowadzić do przejęcia sesji i nieautoryzowanych działań w imieniu ofiary.
Rekomendacja
Zaktualizuj Advantech WISE-DeviceOn Server do wersji 5.4 lub nowszej i wdroż sanityzację danych wejściowych dla nazw harmonogramów.
Inne podatności w Advantech WISE-DeviceOn Server
Zobacz wszystkie- CVE-2025-34266Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na trwałe skrypty krzyżowe (Stored XSS) w punkcie końcowym /rmm/v1/plugin-config/addins/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis menu AddIns, wartości label i path są przechowywane w konfiguracji wtyczki i później renderowane w interfejsie AddIns bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie wykonuje się w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z dotkniętym wpisem AddIns, potencjalnie umożliwiając przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34265Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/rule-engines. Gdy uwierzytelniony użytkownik tworzy lub aktualizuje regułę dla agenta, pola reguły min, max i unit są przechowywane i później wyświetlane na listach reguł lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego lub więcej z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z daną regułą, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34264Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/dog/{agentId}. Gdy uwierzytelniony użytkownik dodaje lub edytuje reguły procesu Software Watchdog dla agenta, nazwa monitorowanego procesu jest przechowywana w tablicy ustawień i później wyświetlana w interfejsie Software Watchdog bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy procesu, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danymi regułami, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34263Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/plugin-config/dashboards/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis pulpitu nawigacyjnego, wartości label i path są przechowywane w danych konfiguracyjnych wtyczki i później wyświetlane w interfejsie pulpitu nawigacyjnego bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do któregokolwiek z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym pulpitem nawigacyjnym, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34262Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devices/name/{agent_id}. Gdy uwierzytelniony użytkownik zmienia nazwę urządzenia, wartość new_name jest przechowywana i później wyświetlana na listach urządzeń lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy urządzenia, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym urządzeniem, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34261Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicegroups/. Gdy uwierzytelniony użytkownik tworzy grupę urządzeń, wartości name i description są przechowywane i później wyświetlane w listach grup urządzeń bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z grupą urządzeń.
- CVE-2025-34259Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicemap/building. Gdy uwierzytelniony użytkownik tworzy wpis mapy, parametr name jest przechowywany i później wyświetlany w interfejsie listy map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy wpisu mapy, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z wpisem mapy.
- CVE-2025-34258Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devicemap/plan. Gdy uwierzytelniony użytkownik dodaje obszar do wpisu mapy, parametr name jest przechowywany i później wyświetlany na liście map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy obszaru, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym wpisem mapy, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34257Średnie
Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność na przechowywany atak XSS w punkcie końcowym /rmm/v1/action/defined. Gdy uwierzytelniony użytkownik tworzy zadanie, wartość defined_name jest przechowywana i później renderowana na stronie przeglądu bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkowników przeglądających zadanie.
Oryginalny opis (angielski, źródło NVD)
Advantech WISE-DeviceOn Server versions prior to 5.4 contain a stored cross-site scripting (XSS) vulnerability in the /rmm/v1/action/schedule endpoint. When an authenticated user adds a schedule to an existing task, the schedule name is stored and later rendered in schedule listings without HTML sanitation. An attacker can inject malicious script into the schedule name, which is then executed in the browser context of users who view or interact with the affected schedule, potentially enabling session compromise and unauthorized actions as the victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS