CVE-2025-34282
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Podatność SSRF w funkcji Image Upload Gallery dashboardu ThingsBoard przed wersją 4.2.1 umożliwia atakującemu wgranie złośliwego pliku SVG odwołującego się do zdalnego URL. Przetworzenie pliku przez serwer może prowadzić do niechcianych żądań wychodzących.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania dostępu do wewnętrznych usług i zasobów sieciowych organizacji, co może prowadzić do wycieku danych lub dalszej kompromitacji infrastruktury.
Rekomendacja
Należy niezwłocznie zaktualizować ThingsBoard do wersji 4.2.1 lub nowszej oraz rozważyć ograniczenie przetwarzania zewnętrznych referencji w plikach SVG.
Inne podatności w ThingsBoard
Zobacz wszystkie- CVE-2026-36537Krytyczne
Wersja ThingsBoard v4.3.0.1 jest podatna na obejście uwierzytelniania podczas wymiany kodu autoryzacyjnego OAuth. Aplikacja niewłaściwie ufa danym tożsamości dostarczonym przez użytkownika w parametrze użytkownika na końcówce /login/oauth2/code/.
- CVE-2026-53676Wysokie
ThingsBoard zawiera podatność na zanieczyszczenie prototypu, która może prowadzić do wykonania dowolnego kodu w kontekście piaskownicy przez użytkownika posiadającego uprawnienia administratora najemcy (TENANT_ADMIN).
- CVE-2026-9568Średnie
W ThingsBoard do wersji 4.3.1.1 wykryto podatność w funkcji getGatewayDockerComposeFile w pliku /api/v1/provision (komponent YAML Handler), umożliwiającą wstrzyknięcie kodu. Atak zdalny jest możliwy, ale trudny do przeprowadzenia.
- CVE-2022-45608Wysokie
W ThingsBoard 3.4.1 odkryto podatność, która umożliwia niskouprzywilejowanym atakującym (CUSTOMER_USER) eskalację uprawnień do poziomu administratora (TENANT_ADMIN lub SYS_ADMIN). Atak wymaga znajomości odpowiedniego parametru API (authority: value).
Oryginalny opis (angielski, źródło NVD)
ThingsBoard versions < 4.2.1 contain a server-side request forgery (SSRF) vulnerability in the dashboard's Image Upload Gallery feature. An attacker can upload a malicious SVG file that references a remote URL. If the server processes the SVG file in a way that parses external references, it may initiate unintended outbound requests. This can be used to access internal services or resources.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS