原文

PostizはAIを活用したソーシャルメディアスケジューリングツールです。バージョン2.21.6以前では、ファイルアップロードの検証を回避できる脆弱性があり、認証済みユーザーが`Content-Type`ヘッダーを偽装することで任意のHTML、SVG、またはその他の実行可能ファイルタイプをサーバーにアップロードできました。アップロードされたファイルは元の拡張子に基づくContent-Type（`text/html`、`image/svg+xml`）でnginxによって配信され、アプリケーションのオリジンコンテキストにおいてストアドクロスサイトスクリプティング（XSS）が発生する可能性があります。これにより、セッションハイジャックやアカウントの乗っ取り、他のユーザーアカウントの完全な侵害が引き起こされる恐れがあります。バージョン2.21.6でこの問題は修正されています。