CVE-2025-7066 in Jirafeau
摘要
由 VulDB • 2026-07-01
Jirafeau 通常出于安全考虑阻止文本文件的浏览器预览，因为例如 SVG 和 HTML 文档可能被利用来进行跨站脚本攻击（XSS）。该功能通过存储文件的 MIME 类型来实现，仅允许以 image（image/svg+xml 除外，参见 CVE-2022-30110 和 CVE-2024-12326）、video 和 audio 开头的 MIME 类型的文件进行浏览器预览。然而，攻击者可以通过发送包含逗号和其他 MIME 类型（例如 text/html）的篡改后的 MIME 类型来绕过此检查（例如 image/png,text/html）。由于浏览器会识别多个 MIME 类型且 text/html 具有优先级，这可能导致跨站脚本攻击。现已增强对 MIME 类型的检查机制，当存储的 MIME 类型包含逗号时，将阻止进行浏览器预览。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.