CVE-2022-32060

Snipe-IT Version v6.0.2 Vulnerability Explanation: An arbitrary file upload vulnerability in the Update Branding Settings component of Snipe-IT v6.0.2 allows attackers to execute arbitrary code via a crafted file. Attack Vectors: We found a vulnerability file upload, when we upload malicious file...

poc-cve-xss-uploading-svg

Details Title: Authenticated Reflected Cross-Site Scripting in "Uploading SVG, WEBP and ICO files" Plugin for WordPress CMS Date: 2023-08-10 Author: Danilo Albuquerque Vendor Homepage: https://wordpress.org Software Link: https://wordpress.org/download Version: WordPress 6.3 Plugin's Name and...

CVE-2024-34452

CVE-2024-34452 - CMSimpleXH 中的跨站脚本（XSS）漏洞 概述 在 CMSimpleXH 1.7.6 版本中发现了一个跨站脚本（XSS）漏洞。该漏洞允许授权用户上传包含恶意 JavaScript 代码的 SVG 文件。问题源于应用程序的文件上传功能对上传的 SVG 文件验证和清理不足。 漏洞详情 CVE 标识符：CVE-2024-34452 严重性：中危 受影响版本：CMSimpleXH 1.7.6 描述 该漏洞的存在是因为应用程序未能正确验证和清理用户上传的 SVG 文件。攻击者可以通过上传包含恶意 JavaScript 代码的特制 SVG...

CVE-2025-65675

CVE-2025-65675 Stored Cross site scripting XSS vulnerability in Classroomio LMS 0.1.13 allows authenticated attackers to execute arbitrary code via crafted SVG profile pictures. Discovered by - Rivek Raj Tamang RivuDon, Sikkim, India. Affected Product: ClassroomIO Affected Version: 0.1.13...

CVE-2023-34845

CVE-2023-34845 CVE-2023-34845 漏洞 POC 漏洞 我在新建内容页面 http://localhost:800/admin/new-content 上发现了一个跨站脚本攻击，它会在用户上下文中执行脚本，使攻击者能够访问浏览器保留的任何 Cookie 或会话令牌。 存储型 XSS，也称为持久型 XSS，比非持久型 XSS 更具破坏性。它发生在恶意脚本被直接注入易受攻击的 Web 应用程序时。 复现步骤 登录账户 点击“新建内容”，如下图所示 点击“图片”按钮 选择注入了 XSS payload 或 SSRF payload 的 payload SVG 文件...

CVE-2023-50465

MonicaHQ XSS 利用 MonicaHQ XSS 创建一个账户 创建一个联系人 在文档中上传一个恶意的 SVG 文件 root@kitploit: alert"Monicahq XSS Poc"; 访问上传的文件...

CVE-2026-11112-XXE-via-SVG-Image-Upload

CVE-2026-11112 – XXE mediante la carga de imágenes SVG Código del programa Python Flask + analizador XML root@kitploit: xxeuploadserver.py - Uploads SVG, renders with lxml resolving entities from flask import Flask, request from lxml import etree app = Flaskname @app.route'/upload', methods='POST...

CVE-2026-27621

CVE-2026-27621：TypiCMS Core 存在存储型跨站脚本攻击（XSS），通过 SVG 文件上传 概述 字段| 详细信息 ---|--- CVE ID| CVE-2026-27621 严重性| 中危 安全通告| 查看通告 发现者| Lukasz Rybak 受影响产品 typicms/core （版本： 标签或 on 事件处理程序）。 当默认文件系统磁盘设置为 public 时，上传的 SVG 文件会存储在公开可访问的目录中，使得攻击者通过直接 URL 访问文件并触发 XSS 负载变得轻而易举。 III. 概念验证（PoC） 1. 创建恶意 SVG 文件： 创建一个名为...

CVE-2023-33977

CVE-2023-33977 kiwitcms/kiwi 中通过 SVG 上传导致的存储型 XSS - 作者：M Nadeem Qazi 描述 本仓库针对在 kiwitcms/kiwi 应用中发现并被分配了 CVE-2023-33977 标识符的存储型 XSS 漏洞进行了说明。该漏洞允许通过 SVG 文件上传执行恶意脚本。当上传包含恶意载荷的 SVG 文件时，脚本会在受害者浏览器的上下文中执行，可能导致数据窃取、账户失陷以及恶意软件的传播。 概念验证 有关此漏洞的详细概念验证可参阅以下视频： 影响 该漏洞影响重大，对 kiwitcms/kiwi...

CVE-2025-65676

CVE-2025-65676 Stored Cross site scripting XSS vulnerability in Classroomio LMS 0.1.13 allows authenticated attackers to execute arbitrary code via crafted SVG cover images. Discovered by - Rivek Raj Tamang RivuDon, Sikkim, India. Affected Product: ClassroomIO Affected Version: 0.1.13 Discovered...

CVE-2025-56514

CVE-2025-56514：Fiora 聊天应用中的跨站脚本（XSS）漏洞 概述 标识为 CVE-2025-56514 的跨站脚本（XSS）漏洞影响 Fiora 聊天应用 1.0.0 版本。该漏洞允许已认证用户通过群组头像更换功能上传恶意 SVG 文件，从而在另一个用户的浏览器上下文中执行任意 JavaScript。 漏洞详情 漏洞类型 ：跨站脚本（XSS） 攻击类型 ：远程 影响 ：代码执行 受影响产品代码库 ：Fiora 1.0.0 厂商 ：suisuijiang 发现者 ：Kaio Mendonca Pereira 受影响组件 Fiora 聊天应用中的以下组件受到影响： 后端...

CVE-2026-14856-TastyIgniter

CVE-2026-14856: XSS Almacenado a Toma de Control de Cuenta en TastyIgniter v4.3.0 📌 Resumen Se identificó una vulnerabilidad de Cross-Site Scripting XSS Almacenado en la funcionalidad de carga de archivos del Media Manager de TastyIgniter v4.3.0. Debido a una validación y saneamiento insuficiente...

CVE-2026-5615

CVE-2026-5615 — VvvebJs Cross-Site Scripting Almacenado RXSS Descripción general Este repositorio contiene un script de prueba de concepto PoC en Python que demuestra una vulnerabilidad de Cross-Site Scripting Almacenado RXSS que afecta a VvvebJs ⚠️ Este proyecto está destinado estrictamente a...

CVE-2024-2961-XXE-Exploit

CVE-2024-2961 CNEXT Script de adaptación del canal XXE Adapta el script de explotación de lectura de archivos PHP - RCE del cnext-exploits oficial de Ambionics al escenario de subida de SVG + XXE de lectura arbitraria de archivos tipo de reto "subidor de avatares" de PolarisCTF 2026. Requisitos...

CVE-2025-56515

CVE-2025-56515 Fiora聊天应用中的跨站脚本（XSS）漏洞 CVE-2025-56515：Fiora聊天应用中的跨站脚本（XSS）漏洞 漏洞概述 CVE ID : CVE-2025-56515 漏洞类型 : 跨站脚本（XSS） 攻击类型 : 远程 影响 : 代码执行 受影响产品 : Fiora聊天应用（版本1.0.0） 供应商 : suisuijiang 发现者 : Kaio Mendonça Pereira 供应商确认 : 是 参考资料 : Fiora GitHub仓库 Fiora应用 CWE-79：网页生成过程中输入的不当中性化 描述...

CVE-2025-60880

CVE-2025-60880: Cross-Site Scripting XSS Almacenado en el Panel de Administración de Bagisto Existe una vulnerabilidad de XSS almacenado autenticado en la ruta de creación de productos del panel de administración de Bagisto 2.3.6, que permite a un atacante subir un archivo SVG manipulado que...

CVE-2024-50803-Redaxo

CVE-2024-50803 XSS almacenado en la función mediapool de Redaxo Se encontró una vulnerabilidad de cross-site scripting XSS almacenado en las versiones de Redaxo 5.18.0, que permite a atacantes con privilegios suficientes subir un archivo SVG malicioso a través de la función mediapool. Publicado u...

CVE-2026-75307

zhitan-ems 1.0.0 is vulnerable to Cross-Site Scripting (XSS) via SVG file upload through the /equipmentFile/upload endpoint. The vulnerability is scored CVSS 3.1: 6.1 (Medium) with a changed scope, indicating that successful exploitation may allow an attacker to execute script in a different secu...

CVE-2025-63830

📂 CKFinder 1.4.3 – Stored Cross-Site Scripting XSS via Malicious SVG Upload CVE ID: CVE-2025-63830 🧭 Overview A stored Cross-Site Scripting XSS vulnerability was identified in CKFinder v1.4.3. The issue resides in the file upload functionality, which fails to properly sanitize SVG files containin...

Magnolia-CMS-6.2.19-Stored-Cross-Site-Scripting-CVE-2022-33098

Magnolia CMS = 6.2.19 Cross-Site Scripting Almacenado CVE-2022-33098 Tabla de Contenidos 1. Visión General 2. Descripción Detallada 3. Prueba de Concepto 4. Solución 5. Cronología de Divulgación 6. Referencias 7. Créditos 8. Avisos Legales Visión General Revisión: 1.0 Impacto: Cross-Site Scriptin...