CVE-2025-34282
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania dostępu do wewnętrznych usług i zasobów sieciowych organizacji, co może prowadzić do wycieku danych lub dalszej kompromitacji infrastruktury.
Rekomendacja
Należy niezwłocznie zaktualizować ThingsBoard do wersji 4.2.1 lub nowszej oraz rozważyć ograniczenie przetwarzania zewnętrznych referencji w plikach SVG.
Oryginalny opis (angielski, źródło NVD)
ThingsBoard versions < 4.2.1 contain a server-side request forgery (SSRF) vulnerability in the dashboard's Image Upload Gallery feature. An attacker can upload a malicious SVG file that references a remote URL. If the server processes the SVG file in a way that parses external references, it may initiate unintended outbound requests. This can be used to access internal services or resources.