CVE-2026-72583 in Fastschema
要約
〜によって VulDB • 2026年08月10日
v0.15.1までのfastschemaには、保存型クロスサイトスクリプティング（XSS）の脆弱性が存在します。これにより、低権限の認証済みユーザーはMIMEタイプ許可リストチェックを回避して悪意のあるJavaScriptを含むSVGファイルをアップロードできます。pkg/rclonefs/base.goにあるPutMultipart関数は、実際のファイル内容を検査するのではなく、クライアントから提供されるContent-Typeヘッダーを検証するため、攻撃者は拡張子を.jpgにリネームしつつimage/svg+xmlを指定することでフィルタを回避し、スクリプトを含むSVGファイルをWebルートディレクトリに保存することが可能です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.