SVG file upload leads to XML injection
注入与走私 / XML Injection / #845832
该报告还没有中文解读。
原文摘录
摘自原文（4418 字符中的一小部分）
Summary: Upload Avatar option allows the user to upload image/* . Thus enabling the upload of many file formats including SVG files (MIME type: image/svg+xml) SVG files are XML based graphics files in 2D images. Thus, this opens up an attack vector to upload specially crafted malicious SVG files. …
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Lab45 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @tushr · 版权归作者与 Lab45 所有