在 TastyIgniter v4.3.0 的 Media Manager 文件上传功能中发现了一个存储型跨站脚本（XSS）漏洞。由于对上传的 .svg 文件验证和清理不足，经过身份验证的低权限用户可以上传包含嵌入式 JavaScript 代码的恶意文件。
当管理员查看或预览上传的文件时，有效载荷会在其会话上下文中执行。通过将此向量与跨站请求伪造（CSRF）结合，攻击者可以提取管理员的防 CSRF 令牌并触发未经授权的管理操作（例如，修改账户凭据），从而导致完全的账户接管。
| 属性 | 值 |
|---|
| CVE ID | CVE-2026-14856 |
| INCIBE 公告 | INCIBE-2026-511 |
| 受影响组件 | Media Manager |
| 受影响版本 | TastyIgniter v4.3.0 |
| 漏洞类型 | CWE-79（存储型跨站脚本） |
| CVSS v4.0 评分 | 6.3（中危） |
| CVSS 向量 | CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H |
| 发现者 | Jonas Fernández |
完整的技术报告、逐步分解和分析以 PDF 格式提供于本仓库中：
Jonas Fernández
