CVE-2026-1466 in Jirafeau
要約
〜によって VulDB • 2026年06月21日
Jirafeauは、SVGやHTMLドキュメントがクロスサイトスクリプティング（XSS）の悪用に利用される可能性があるため、通常、テキストファイルのブラウザプレビューを防止しています。これは、ファイルのMIMEタイプを保存し、image（ただしimage/svg+xmlは除く。CVE-2022-30110、CVE-2024-12326、CVE-2025-7066を参照）、video、audioで始まるMIMEタイプのみに対してブラウザプレビューを許可することで実現されていました。しかし、imageのような無効なMIMEタイプを含む改ざんされたHTTPリクエストを送信することで、このチェックを回避することが可能でした。プレビュー実行時、ブラウザはMIMEタイプを自動的に検出しようとし、SVGを検出してJavaScriptコードを実行する可能性があります。これを防止するため、HTTPヘッダー X-Content-Type-Options: nosniff を送信することでMIMEスニッフィングを無効にしています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.