CVE-2025-34266
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na trwałe skrypty krzyżowe (Stored XSS) w punkcie końcowym /rmm/v1/plugin-config/addins/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis menu AddIns, wartości label i path są przechowywane w konfiguracji wtyczki i później renderowane w interfejsie AddIns bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie wykonuje się w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z dotkniętym wpisem AddIns, potencjalnie umożliwiając przejęcie sesji i nieautoryzowane działania jako ofiara.
Ocena ryzyka
Atakujący może trwale wstrzyknąć złośliwy kod, który wykonuje się u innych użytkowników systemu, prowadząc do przejęcia sesji i nieautoryzowanych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj Advantech WISE-DeviceOn Server do wersji 5.4 lub nowszej. Dodatkowo ogranicz dostęp do interfejsu AddIns tylko do zaufanych administratorów i regularnie przeglądaj konfigurację wtyczek.
Inne podatności w Advantech WISE-DeviceOn Server
Zobacz wszystkie- CVE-2025-34265Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/rule-engines. Gdy uwierzytelniony użytkownik tworzy lub aktualizuje regułę dla agenta, pola reguły min, max i unit są przechowywane i później wyświetlane na listach reguł lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego lub więcej z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z daną regułą, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34264Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/dog/{agentId}. Gdy uwierzytelniony użytkownik dodaje lub edytuje reguły procesu Software Watchdog dla agenta, nazwa monitorowanego procesu jest przechowywana w tablicy ustawień i później wyświetlana w interfejsie Software Watchdog bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy procesu, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danymi regułami, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34263Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/plugin-config/dashboards/menus. Gdy uwierzytelniony użytkownik dodaje lub edytuje wpis pulpitu nawigacyjnego, wartości label i path są przechowywane w danych konfiguracyjnych wtyczki i później wyświetlane w interfejsie pulpitu nawigacyjnego bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do któregokolwiek z tych pól, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym pulpitem nawigacyjnym, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34262Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devices/name/{agent_id}. Gdy uwierzytelniony użytkownik zmienia nazwę urządzenia, wartość new_name jest przechowywana i później wyświetlana na listach urządzeń lub w widokach szczegółowych bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy urządzenia, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym urządzeniem, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34261Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicegroups/. Gdy uwierzytelniony użytkownik tworzy grupę urządzeń, wartości name i description są przechowywane i później wyświetlane w listach grup urządzeń bez odpowiedniej sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do jednego z tych pól, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z grupą urządzeń.
- CVE-2025-34260Średnie
Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność typu stored XSS w punkcie końcowym /rmm/v1/action/schedule. Nazwa harmonogramu dodawanego przez uwierzytelnionego użytkownika jest zapisywana i wyświetlana bez sanityzacji HTML, co pozwala wstrzyknąć złośliwy skrypt.
- CVE-2025-34259Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność typu stored cross-site scripting (XSS) w endpointcie /rmm/v1/devicemap/building. Gdy uwierzytelniony użytkownik tworzy wpis mapy, parametr name jest przechowywany i później wyświetlany w interfejsie listy map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy wpisu mapy, który następnie jest wykonywany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z wpisem mapy.
- CVE-2025-34258Średnie
Advantech WISE-DeviceOn Server w wersjach przed 5.4 zawiera podatność na przechowywany cross-site scripting (XSS) w punkcie końcowym /rmm/v1/devicemap/plan. Gdy uwierzytelniony użytkownik dodaje obszar do wpisu mapy, parametr name jest przechowywany i później wyświetlany na liście map bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt do nazwy obszaru, który następnie zostanie wykonany w kontekście przeglądarki użytkowników przeglądających lub wchodzących w interakcję z danym wpisem mapy, co potencjalnie umożliwia przejęcie sesji i nieautoryzowane działania jako ofiara.
- CVE-2025-34257Średnie
Serwer Advantech WISE-DeviceOn w wersjach przed 5.4 zawiera podatność na przechowywany atak XSS w punkcie końcowym /rmm/v1/action/defined. Gdy uwierzytelniony użytkownik tworzy zadanie, wartość defined_name jest przechowywana i później renderowana na stronie przeglądu bez sanityzacji HTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce użytkowników przeglądających zadanie.
Oryginalny opis (angielski, źródło NVD)
Advantech WISE-DeviceOn Server versions prior to 5.4 contain a stored cross-site scripting (XSS) vulnerability in the /rmm/v1/plugin-config/addins/menus endpoint. When an authenticated user adds or edits an AddIns menu entry, the label and path values are stored in plugin configuration data and later rendered in the AddIns UI without proper HTML sanitation. An attacker can inject malicious script into either field, which is then executed in the browser context of users who view or interact with the affected AddIns entry, potentially enabling session compromise and unauthorized actions as the victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS