CVE-2026-40487

总结

Postiz 是一款 AI 社交媒体排程工具。在 2.21.6 版本之前，存在一个文件上传验证绕过漏洞，允许任何已认证用户通过伪造 `Content-Type` 标头，将任意 HTML、SVG 或其他可执行文件类型上传到服务器。随后，nginx 会根据文件的原始扩展名（`text/html`、`image/svg+xml`）派生 Content-Type 并提供这些上传文件，从而在应用程序源上下文中实现存储型跨站脚本（XSS）。这可能导致会话劫持、账户接管以及完全入侵其他用户的账户。2.21.6 版本包含修复。

• CVE-2026-40487漏洞利用

  CVE-2026-40487 的概念验证漏洞利用，演示了通过 MIME 欺骗实现任意文件上传，进而导致 Postiz 中的存储型 XSS 和账户接管。包含多种攻击模式，用于数据外泄、权限提升和持久化。