CVE-2024-50803-Redaxo

CVE-2024-50803 Хранимая XSS-уязвимость в функции mediapool в Redaxo В Redaxo версиях 5.18.0 была обнаружена хранимая уязвимость межсайтового скриптинга XSS, позволяющая атакующим с достаточными привилегиями загружать вредоносный SVG-файл через функцию mediapool. Опубликован разбор :...

CVE-2024-7703

CVE-2024-7703 root@kitploit: Эксплойт CVE-2024-7703: Сохранённый межсайтовый скриптинг XSS через загрузку SVG-файлов в плагине ARMember для WordPress Обзор Этот репозиторий содержит PoC-эксплойт для уязвимости, обозначенной как CVE-2024-7703. Уязвимость затрагивает плагин ARMember для WordPress, ...

CVE-2023-34845

CVE-2023-34845 POC de vulnérabilité pour CVE-2023-34845 Vulnérabilité J'ai trouvé une attaque de cross-site scripting sur la page de création de nouveau contenu http://localhost:800/admin/new-content elle exécutera le script dans le contexte de l'utilisateur, permettant à l'attaquant d'accéder au...

CVE-2026-79670 Ech0 before 4.4.3 Stored XSS via SVG Upload

Ech0 before 4.4.3 contains a stored cross-site scripting vulnerability in the file upload endpoint that validates Content-Type using only client-supplied headers without server-side inspection. Attackers with admin privileges can upload SVG or HTML files containing JavaScript that executes in the...

CVE-2026-79670

Ech0 before 4.4.3 contains a stored cross-site scripting (XSS) vulnerability in its file upload endpoint . The root cause is that the endpoint validates the Content-Type header using only client-supplied values without performing server-side inspection of the uploaded file. An attacker with admin...

thingsboard-ssrf-cve-2025-34282

CVE-2025-34282 — SVG画像アップロードを介したThingsBoard SSRF 概要 ThingsBoard IoTプラットフォームのバージョン4.2.1 未満に存在するサーバーサイドリクエストフォージェリ SSRF の脆弱性です。 テナント管理者権限を持つ攻撃者は、画像アップロードギャラリーを介して、内部URL参照を含む細工されたSVGファイルをアップロードできます。ThingsBoardがSVGをサーバー側で処理すると、参照先URLをフェッチし、インターネットに公開されていない内部サービスへのアクセスを可能にします。...

CVE-2025-56515

CVE-2025-56515 Vulnérabilité de script intersite XSS dans l'application de chat Fiora CVE-2025-56515 : Vulnérabilité de script intersite XSS dans l'application de chat Fiora Aperçu de la vulnérabilité Identifiant CVE : CVE-2025-56515 Type de vulnérabilité : Script intersite XSS Type d'attaque : À...

CVE-2023-39115

CVE-2023-39115 Description : Campcodes Online Matrimonial Website System Script v3.3 est vulnérable à une faille de téléchargement arbitraire de fichiers, permettant potentiellement à des attaquants d'exécuter du code arbitraire sur le serveur ciblé. La vulnérabilité provient d'une validation...

poc-cve-xss-uploading-svg

Détails Titre : Cross-Site Scripting Réfléchi Authentifié dans le plugin "Uploading SVG, WEBP and ICO files" pour WordPress CMS Date : 2023-08-10 Auteur : Danilo Albuquerque Page d'accueil du fournisseur : https://wordpress.org Lien du logiciel : https://wordpress.org/download Version : WordPress...

CVE-2025-63830

📂 CKFinder 1.4.3 – Script intersite stocké XSS via téléchargement SVG malveillant Identifiant CVE : CVE-2025-63830 🧭 Aperçu Une vulnérabilité de script intersite stocké XSS a été identifiée dans CKFinder v1.4.3. Le problème réside dans la fonctionnalité de téléchargement de fichiers , qui ne...

CVE-2026-11112-XXE-via-SVG-Image-Upload

CVE-2026-11112 – XXE через загрузку SVG-изображений Код программы Python Flask + XML-парсер root@kitploit: xxeuploadserver.py - Uploads SVG, renders with lxml resolving entities from flask import Flask, request from lxml import etree app = Flaskname @app.route'/upload', methods='POST' def...

CVE-2026-14856-TastyIgniter

CVE-2026-14856: Хранимый XSS с захватом учётной записи в TastyIgniter v4.3.0 📌 Краткое описание В функциональности загрузки файлов Media Manager в TastyIgniter v4.3.0 была обнаружена уязвимость хранимого межсайтового скриптинга XSS. Из-за недостаточной проверки и очистки загружаемых .svg-файлов...

CVE-2026-27621

CVE-2026-27621: TypiCMS Core содержит хранимую межсайтовую уязвимость XSS, возникающую при загрузке SVG-файлов Обзор...

Magnolia-CMS-6.2.19-Stored-Cross-Site-Scripting-CVE-2022-33098

Magnolia CMS = 6.2.19 Хранимый межсайтовый скриптинг CVE-2022-33098 Оглавление 1. Обзор 2. Подробное описание 3. Доказательство концепции 4. Решение 5. График раскрытия 6. Ссылки 7. Авторы 8. Правовые уведомления Обзор Редакция: 1.0 Воздействие: Хранимый межсайтовый скриптинг в Magnolia CMS 6.2.1...

CVE-2023-50465

MonicaHQ XSS Эксплуатация MonicaHQ XSS Создайте аккаунт Создайте контакт В разделе Documents загрузите вредоносный SVG-файл root@kitploit: alert"Monicahq XSS Poc"; Откройте загруженный файл...

CVE-2025-61183

CVE-2025-61183 XSS stocké lors du téléchargement d'avatar utilisateur via une gestion non sécurisée des SVG Aperçu Une vulnérabilité de Cross-Site Scripting XSS stocké a été identifiée dans vaahcms, spécifiquement dans l'interaction entre la logique de téléchargement de fichiers dans...

CVE-2023-33977

CVE-2023-33977 kiwitcms/kiwi에서 SVG 업로드를 통한 저장형 XSS - M Nadeem Qazi 설명 이 저장소는 kiwitcms/kiwi 애플리케이션에서 발견된 저장형 XSS 취약점을 다루며, 해당 취약점에는 CVE-2023-33977 식별자가 할당되었습니다. 이 취약점은 SVG 파일 업로드를 통해 악성 스크립트가 실행될 수 있게 합니다. 페이로드가 포함된 SVG 파일이 업로드되면, 피해자 브라우저의 컨텍스트에서 스크립트가 실행되어 데이터 도난, 계정 탈취, 악성코드 유포로 이어질 수 있습니다. 개념 ...

CVE-2024-50803-Redaxo

CVE-2024-50803 Redaxo의 mediapool 기능에서 Stored XSS 취약점 Redaxo 버전 5.18.0 미만에서 저장형 크로스 사이트 스크립팅XSS 취약점이 발견되었습니다. 이 취약점으로 인해 충분한 권한을 가진 공격자가 mediapool 기능을 통해 악성 SVG 파일을 업로드할 수 있습니다. Write-up 게시됨 : https://medium.com/@praison66/5d15a3cd054d Praison 에 의해 발견됨, 2024년 9월. 참고 자료 :...

CVE-2022-32060

Snipe-IT 版本 v6.0.2 漏洞说明： Snipe-IT v6.0.2 的更新品牌设置组件中存在任意文件上传漏洞，攻击者可通过构造的文件执行任意代码。 攻击向量： 我们发现了一个文件上传漏洞，当在更新品牌设置页面上传恶意文件时触发。 Payload： https://github.com/bypazs/GrimTheRipper/blob/main/GrimTheRipperTeam.svg 测试环境： 1. Snipe-IT 版本 v6.0.2 2. Google Chrome 版本 102.0.5005.61 官方构建 64位 受影响组件：...

CVE-2025-65675

CVE-2025-65675 Vulnérabilité de Cross-Site Scripting stocké XSS dans Classroomio LMS 0.1.13 permettant à des attaquants authentifiés d'exécuter du code arbitraire via des images de profil SVG conçues. Découverte par - Rivek Raj Tamang RivuDon, Sikkim, Inde. Produit affecté : ClassroomIO Version...