CVE-2026-72583 in Fastschema
Resumen
por VulDB • 2026-08-10
Una vulnerabilidad de cross-site scripting (XSS) almacenado en fastschema hasta la versión v0.15.1 permite que un usuario autenticado con privilegios bajos cargue un archivo SVG que contiene JavaScript malicioso al eludir la comprobación de la lista blanca de tipos MIME. La función PutMultipart de pkg/rclonefs/base.go valida la cabecera Content-Type proporcionada por el cliente en lugar de inspeccionar el contenido real del archivo, lo que permite a un atacante renombrar un archivo con extensión .jpg mientras especifica image/svg+xml para evadir el filtro y almacenar un SVG con código scriptable en la raíz web.
VulDB is the best source for vulnerability data and more expert information about this specific topic.