CVE:CVE-2023-0112
CNNVD:CNNVD-202301-490
memos是具有知识管理和社交功能的开源自托管备忘录中心。
memos 0.10.0之前的版本存在跨站脚本漏洞，该漏洞源于其资源上传特性不限制上传文件的类型导致攻击者可以上传html文件，且浏览器仍然会呈现它。CSP被设置为default-src “self”以防止内联脚本执行。但攻击者可以通过上传js文件然后通过html文件包含它来轻松绕过。
solution:Upgrade usememos memos to a higher version than 0.10.0,and avoid the version (,0.10.0)