在 TinyFileManager v2.4.7 的 /tinyfilemanager.php 组件中存在一个存储型跨站脚本（XSS）漏洞，攻击者可通过向 js-theme-3 参数注入特制有效载荷来执行任意 JavaScript 或 HTML。
要检查漏洞，请进入设置页面（网址：http://localhost/index.php?p=&settings=1）。
发送请求时，将 js-theme-3 参数的值修改为以下有效载荷：light“></nav><nav+a=”
注入的脚本随后将执行，并可在整个页面（包括登录界面）中运行。
用作会话 ID 的 filemanager cookie 未设置 httpOnly 标志，因此容易受到 HTTP 会话 cookie 劫持攻击。
结合之前报告的会话固定漏洞（CVE-2022-40916），攻击者可能通过每次登录时使用固定的 'filemanager' cookie 值来以任意用户身份登录。
