CVE-2025-9145

CVE-2025-9145: Injeção de Cross-Site Scripting (XSS) armazenado por Upload de Arquivo SVG

Publicação CVE: https://www.cve.org/CVERecord?id=CVE-2025-9145

Resumo

Uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado via desvio de upload de arquivo SVG foi identificada no endpoint view_edit.shtm do aplicativo Scada-LTS. Essa vulnerabilidade permite que invasores enviem arquivos maliciosos para o parâmetro backgroundImageMP. Os arquivos injetados são armazenados no servidor e executados automaticamente sempre que a página afetada é acessada por usuários, representando um risco significativo à segurança.

Detalhes

Endpoint Vulnerável: view_edit.shtm

Parâmetro: backgroundImageMP

O aplicativo não consegue validar e sanitizar adequadamente as entradas do usuário no parâmetro backgroundImageMP. Essa falta de validação permite que invasores injetem scripts maliciosos, que são armazenados no servidor. Sempre que a página afetada é acessada, o payload malicioso é executado no navegador da vítima, potencialmente comprometendo os dados e o sistema do usuário.

PoC

Salve o payload no arquivo xss.svg.

Após isso, acesse a página views.shtm e clique em "computer +" para adicionar uma nova "view", clique no botão "Escolher arquivo" para escolher o arquivo malicioso, depois clique no botão "Upload image" para enviar o arquivo. Em seguida, clique no botão "Save". Acesse o arquivo pela página de gatilho.

Payload:

1
2
3
4
5
<svg xmlns=""http://www.w3.org/2000/svg"" fill=""none"">
  <script>
    alert(""This is an XSS-POC from CVEHUNTERS"");
  </script>
</svg>

Impacto

Roubo de cookies de sessão: Invasores podem usar cookies de sessão roubados para sequestrar a sessão de um usuário e executar ações em seu nome.
Baixar malware: Invasores podem induzir os usuários a baixar e instalar malware em seus computadores.
Sequestro de navegadores: Invasores podem sequestrar o navegador de um usuário ou aplicar exploits baseados nele.
Roubo de credenciais: Invasores podem roubar as credenciais de um usuário.
Obter informações confidenciais: Invasores podem obter informações confidenciais armazenadas na conta de um usuário ou em seu navegador.
Desfigurar sites: Invasores podem desfigurar um site alterando seu conteúdo.
Desorientar usuários: Invasores podem alterar as instruções fornecidas aos usuários que visitam o site alvo, desorientando seu comportamento.
Prejudicar a reputação de uma empresa: Invasores podem prejudicar a imagem de uma empresa ou espalhar desinformação desfigurando um site corporativo.

Referência

https://github.com/KarinaGante/KG-Sec/blob/main/CVEs/Scada-LTS/CVE-2025-9145.md

Encontrado por:

Karina Gante

By: CVE-Hunters