CVE-2025-9137

Como encontrei um XSS armazenado no Scada-LTS via scheduled_events.shtm (com PoC e Capturas de Tela)

🇺🇸 Read in English.

CVE-2025-9137

Introdução

Você consegue imaginar comprometer um sistema apenas preenchendo um único campo de texto? Neste post, mostrarei como uma vulnerabilidade simples no campo "Alias" do Scada-LTS permite que invasores executem scripts maliciosos no navegador de qualquer pessoa que acesse a página — automaticamente e sem qualquer interação.

Após uma investigação completa e divulgação responsável, o problema foi atribuído como CVE-2025-9137.

Neste artigo, compartilho detalhes técnicos, uma PoC passo a passo, capturas de tela e o impacto potencial desta vulnerabilidade.

O que é a CVE-2025-9137?

CVE-2025-9137 refere-se a uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada no endpoint scheduled_events.shtm do aplicativo Scada-LTS. O XSS armazenado ocorre quando entradas maliciosas são armazenadas no servidor e executadas nos navegadores de todos os usuários que carregam a página afetada.

Para CVE-2025-9137, o parâmetro vulnerável é alias. Este campo aceita entradas de usuários não filtradas, permitindo que invasores injetem código JavaScript arbitrário.

Detalhes Técnicos

➤ Endpoint Vulnerável: scheduled_events.shtm

➤ Parâmetro Afetado: alias

➤ Payload Utilizado

html

<img src=x onerror=alert(1)>

Proof of Concept (PoC)

Para confirmar a vulnerabilidade, segui estes passos:

➤ Acesse o endpoint: scheduled_events.shtm

➤ No segundo campo (“Alias”), insira o payload

➤ Clique no ícone do disco para salvar

O payload será executado automaticamente após salvar.

Impacto

A vulnerabilidade de Cross Site Scripting (XSS) pode ser explorada para:

• Roubar cookies de sessão (session hijacking);
• Instalar malwares nos dispositivos das vítimas;
• Roubar credenciais salvas no navegador;
• Redirecionar usuários para sites maliciosos;
• Alterar a interface da aplicação (defacement);
• Comprometer a reputação institucional.

Fontes Oficiais

A falha foi reportada eticamente e atribuída como:

Conclusão

Mesmo um único campo de entrada sem validação adequada pode abrir caminho para ataques de alto impacto.

CVE-2025-9137 destaca a importância da sanitização de entradas em todas as etapas do desenvolvimento. Se você trabalha com aplicativos web, é importante revisar cuidadosamente todos os pontos de entrada do usuário.

Descuidos simples como esse podem facilmente passar despercebidos, mas apresentam sérios riscos.

Créditos

Descoberto com💜 por Karina Gante.

Membro Oficial do CVE-Hunters🏹