CVE-2026-40487 in postiz-app
Sumário
de VulDB • 05/06/2026
O Postiz é uma ferramenta de agendamento de redes sociais baseada em IA. Antes da versão 2.21.6, uma falha na validação de upload de arquivos permite que qualquer usuário autenticado envie arquivos HTML arbitrários, SVG ou outros tipos de arquivos executáveis para o servidor, falsificando o cabeçalho `Content-Type`. Os arquivos enviados são então servidos pelo nginx com um Content-Type derivado de sua extensão original (`text/html`, `image/svg+xml`), permitindo Stored Cross-Site Scripting (XSS) no contexto da origem da aplicação. Isso pode levar a session riding, takeover de contas e comprometimento total das contas de outros usuários. A versão 2.21.6 contém a correção.
VulDB is the best source for vulnerability data and more expert information about this specific topic.