CVE-2025-9138

Como encontrei um XSS armazenado no Scada-LTS via Path parâmetro pointHierarchy/new/ (com PoC e Capturas de Tela)

🇺🇸 Read in English.

CVE-2025-9138

Introdução

E se eu dissesse que apenas adicionar um novo título a um formulário pode comprometer um usuário que abre uma página no seu sistema? Você consegue imaginar comprometer um sistema apenas preenchendo um único campo de texto?

Neste post, vou explicar como descobri uma vulnerabilidade de XSS Armazenado no aplicativo Scada-LTS — especificamente no endpoint pointHierarchy/new/ — que permite que um invasor injete e persista um payload JavaScript. O exploit é acionado automaticamente no momento em que qualquer usuário acessa a página. Sem cliques. Sem avisos.

Vamos analisar os detalhes técnicos, a prova de conceito, as capturas de tela e os riscos reais envolvidos.

O que é a CVE-2025-9138?

CVE-2025-9138 é uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada no endpoint pointHierarchy/new/ do aplicativo Scada-LTS. XSS armazenado significa que o payload do invasor não é apenas refletido temporariamente — ele é salvo no servidor e executado no navegador de cada usuário quando ele visita a página vulnerável. Isso inclui administradores.

Neste caso, o problema está em um parâmetro Path que aceita entradas inseguras sem sanitização, possibilitando a persistência de código JavaScript arbitrário no sistema.

Detalhes Técnicos

➤ Endpoint Vulnerável: pointHierarchy/new/

➤ Payload Utilizado

html

<img src=x onerror=alert(10)>

Proof of Concept (PoC)

Aqui está o passo a passo exato que segui para verificar a vulnerabilidade:

➤ Acesse o endpoint: pointHierarchy/new/

➤ Clique no botão “+” para criar um novo item

➤ No campo “Título”, insira o payload XSS

➤ Clique em “Yes” para salvar a entrada

O payload é executado automaticamente.

Parâmetro Path

Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

• Roubar cookies de sessão (session hijacking);
• Instalar malwares nos dispositivos das vítimas;
• Roubar credenciais salvas no navegador;
• Redirecionar usuários para sites maliciosos;
• Alterar a interface da aplicação (defacement);
• Comprometer a reputação institucional.

Fontes Oficiais

A falha foi reportada eticamente e atribuída como:

Conclusão

Mesmo um único campo de entrada sem validação adequada pode abrir caminho para ataques de alto impacto.

CVE-2025-9138 destaca a importância da sanitização de entradas em todas as etapas do desenvolvimento. Se você trabalha com aplicativos web, é importante revisar cuidadosamente todos os pontos de entrada do usuário.

Descuidos simples como esse podem facilmente passar despercebidos, mas apresentam sérios riscos.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹