CVE-2025-9145

XSS armazenado via Bypass de upload de SVG no Scada-LTS.

🇺🇸 Read in English.

CVE-2025-9145

Introdução

E se o simples upload de um arquivo SVG pudesse comprometer o navegador de um usuário? Nesta publicação, explicarei uma vulnerabilidade XSS armazenada que descobri no Scada-LTS, que utiliza um bypass de upload de arquivo para injetar e executar JavaScript.

Esta vulnerabilidade foi classificada como CVE-2025-9145 após divulgação responsável e afeta o parâmetro backgroundImageMP do endpoint view_edit.shtm.

Abaixo, você encontrará os detalhes técnicos, uma PoC passo a passo, payloads, impacto e referências oficiais.

O que é a CVE-2025-9145?

CVE-2025-9145 é uma vulnerabilidade de script entre sites armazenado (XSS) acionada por meio de bypass no upload de arquivos SVG. Ao contrário do XSS tradicional baseado em entrada, essa falha permite que um invasor carregue um SVG malicioso contendo JavaScript incorporado. Quando renderizado pelo navegador, esse script é executado automaticamente, comprometendo qualquer usuário que acesse o arquivo.

Esse tipo de problema é especialmente perigoso porque persiste no servidor e não requer interação do usuário além de simplesmente visitar a URL do arquivo.

Detalhes Técnicos

➤ Endpoint vulnerável view_edit.shtm

➤ Parâmetro afetado: backgroundImageMP

➤ Página de gatilho: /uploads/[ID].svg

➤ Payload utilizado

html

<svg xmlns=""http://www.w3.org/2000/svg"" fill=""none"">
  <script>
    alert(""Este é um XSS-POC de CVE-HUNTERS"");
  </script>
</svg>

Proof of Concept (PoC)

Veja como reproduzir a vulnerabilidade passo a passo:

➤ Salve o payload como: xss.svg

➤ Acesse views.shtm

➤ Clique no ícone “computador +” para criar uma nova visualização

➤ Clique em “Escolher arquivo” e selecione xss.svg. Em seguida, clique em “Upload image”

➤ Após o upload do arquivo, clique em “Salvar”.

➤ Navegue até o caminho do arquivo carregado /uploads/[ID].svg

O script será executado imediatamente.

Parâmetro backgroundImageMP

Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

• Roubar cookies de sessão (session hijacking);
• Instalar malwares nos dispositivos das vítimas;
• Roubar credenciais salvas no navegador;
• Redirecionar usuários para sites maliciosos;
• Alterar a interface da aplicação (defacement);
• Comprometer a reputação institucional.

Fontes Oficiais

A falha foi reportada eticamente e atribuída como:

Conclusão

Ignorar restrições de upload de arquivos usando arquivos SVG é um vetor XSS bem conhecido, mas ainda frequentemente subestimado. CVE-2025-9145 demonstra como um upload de imagem aparentemente inofensivo pode se transformar em uma ameaça persistente do lado do cliente.

As equipes de segurança devem tratar SVGs como conteúdo ativo, sanitizá-los cuidadosamente e evitar renderizar arquivos enviados pelo usuário diretamente no navegador sem filtragem. Mesmo um único campo — ou arquivo — é suficiente para comprometer um aplicativo.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹