CVE-2025-34261
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicegroups/. Gdy uwierzytelniony użytkownik tworzy grupę urządzeń, wartości name i description są przechowywane i później wyświetlane w listach grup urządzeń bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z grupą urządzeń.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika lub wykonać nieautoryzowane działania w jego imieniu, co prowadzi do naruszenia bezpieczeństwa systemu i danych. Może to skutkować eskalacją uprawnień i dostępem do poufnych informacji.
Rekomendacja
Zaktualizuj Advantech WISE-DeviceOn Server do wersji 5.4 lub nowszej. Do czasu aktualizacji należy wdrożyć dodatkowe mechanizmy sanityzacji danych wejściowych i escapowania danych wyjściowych.
Inne podatności w Advantech WISE-DeviceOn Server
Zobacz wszystkie- CVE-2025-34266Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na trwałe skrypty krzyżowe (Stored XSS) w punkcie końcowym /rmm/v1/plugin-config/addins/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis menu AddIns, wartości label i path są przechowywane w konfiguracji wtyczki i później renderowane w interfejsie AddIns bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie wykonuje się w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z dotkniętym wpisem AddIns, potencjalnie umożliwiając przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34265Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/rule-engines. Gdy uwierzytelniony użytkownik tworzy lub aktualizuje regułę dla agenta, pola reguły min, max i unit są przechowywane i później wyświetlane na listach reguł lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego lub więcej z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z daną regułą, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34264Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/dog/{agentId}. Gdy uwierzytelniony użytkownik dodaje lub edytuje reguły procesu Software Watchdog dla agenta, nazwa monitorowanego procesu jest przechowywana w tablicy ustawień i później wyświetlana w interfejsie Software Watchdog bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy procesu, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danymi regułami, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34263Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/plugin-config/dashboards/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis pulpitu nawigacyjnego, wartości label i path są przechowywane w danych konfiguracyjnych wtyczki i później wyświetlane w interfejsie pulpitu nawigacyjnego bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do któregokolwiek z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym pulpitem nawigacyjnym, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34262Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devices/name/{agent_id}. Gdy uwierzytelniony użytkownik zmienia nazwę urządzenia, wartość new_name jest przechowywana i później wyświetlana na listach urządzeń lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy urządzenia, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym urządzeniem, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34260Średnie
Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność typu stored XSS w punkcie końcowym /rmm/v1/action/schedule. Nazwa harmonogramu dodawanego przez uwierzytelnionego użytkownika jest zapisywana i wyświetlana bez sanityzacji HTML, co pozwala wstrzyknąć złośliwy skrypt.
- CVE-2025-34259Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicemap/building. Gdy uwierzytelniony użytkownik tworzy wpis mapy, parametr name jest przechowywany i później wyświetlany w interfejsie listy map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy wpisu mapy, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z wpisem mapy.
- CVE-2025-34258Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devicemap/plan. Gdy uwierzytelniony użytkownik dodaje obszar do wpisu mapy, parametr name jest przechowywany i później wyświetlany na liście map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy obszaru, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym wpisem mapy, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34257Średnie
Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność na przechowywany atak XSS w punkcie końcowym /rmm/v1/action/defined. Gdy uwierzytelniony użytkownik tworzy zadanie, wartość defined_name jest przechowywana i później renderowana na stronie przeglądu bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkowników przeglądających zadanie.
Oryginalny opis (angielski, źródło NVD)
Advantech WISE-DeviceOn Server versions prior to 5.4 contain a stored cross-site scripting (XSS) vulnerability in the /rmm/v1/devicegroups/ endpoint. When an authenticated user creates a device group, the name and description values are stored and later rendered in device group listings without proper HTML sanitation. An attacker can inject malicious script into either field, which is then executed in the browser context of users who view or interact with the affected device group, potentially enabling session compromise and unauthorized actions as the victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS