CVE-2023-43838

CVE-2023-43838 个人管理系统（Personal Management System）v1.4.64 中存在一个任意文件上传漏洞，攻击者可通过将精心构造的 SVG 文件上传到用户个人资料的头像中，从而执行任意代码。 附加信息 1. 创建 alert.svg，内容如下： root@kitploit: alert"huntr.dev"; 2. 将 .SVG 托管在 Web 服务器上。 3. 将 .SVG 作为头像图片上传。 4. 当用户在新标签页中打开头像时，存储于 .SVG 文件中的 javascript 将被执行。 参考资料：...