CVE-2026-72583

Nome do Software Vulnerável e Versões Afetadas fastschema versões anteriores a 0.15.2

Description Um problema de cross-site scripting (XSS) armazenado existe onde um usuário autenticado de baixo privilégio pode fazer o upload de um arquivo SVG contendo JavaScript malicioso. Isso ocorre porque a função PutMultipart() em pkg/rclonefs/base.go valida o cabeçalho Content-Type fornecido pelo cliente em vez de inspecionar o conteúdo real do arquivo. Um invasor pode ignorar a verificação da lista de permissões de tipo MIME renomeando um arquivo para .jpg enquanto especifica image/svg+xml como o cabeçalho, permitindo o armazenamento de um SVG com script na raiz da web.

Recommendations Atualize o fastschema para a versão 0.15.2 ou posterior.