ThingsBoard versions < 4.2.1 contain a server-side request forgery (SSRF) vulnerability in the dashboard's Image Upload Gallery feature. An attacker can upload a malicious SVG file that references a remote URL. If the server processes the SVG file in a way that parses external references, it may initiate unintended outbound requests. This can be used to access internal services or resources.
References
| Link | Resource |
|---|---|
| https://github.com/thingsboard/thingsboard/pull/13927 | Issue Tracking |
| https://github.com/thingsboard/thingsboard/releases/tag/v4.2.1 | Release Notes |
| https://www.vulncheck.com/advisories/thingsboard-svg-image-ssrf | Third Party Advisory |
Configurations
History
23 Oct 2026, 22:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Las versiones de ThingsBoard anterior a 4.2.1 contienen una vulnerabilidad de falsificación de petición del lado del servidor (SSRF) en la función de Galería de Carga de Imágenes del panel de control. Un atacante puede cargar un archivo SVG malicioso que hace referencia a una URL remota. Si el servidor procesa el archivo SVG de una manera que analiza referencias externas, puede iniciar peticiones salientes no intencionadas. Esto puede ser utilizado para acceder a servicios o recursos internos. |
19 Oct 2026, 16:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2025-10-17 19:15
Updated : 2026-10-23 22:10
NVD link : CVE-2025-34282
Mitre link : CVE-2025-34282
CVE.ORG link : CVE-2025-34282
JSON object : View
Products Affected
thingsboard
- thingsboard
CWE
CWE-918
Server-Side Request Forgery (SSRF)