Vulnerabilidad en Jirafeau (CVE-2026-1466)

Jirafeau normalmente impide la previsualización del navegador para archivos de texto debido a la posibilidad de que, por ejemplo, documentos SVG y HTML pudieran ser explotados para cross-site scripting. Esto se hacía almacenando el tipo MIME de un archivo y permitiendo solo la previsualización del navegador para tipos MIME que comienzan con 'image' (excepto para 'image/svg+xml', ver CVE-2022-30110, CVE-2024-12326 y CVE-2025-7066), video y audio. Sin embargo, era posible eludir esta comprobación enviando una solicitud HTTP manipulada con un tipo MIME inválido como 'image'. Al realizar la previsualización, el navegador intenta detectar automáticamente el tipo MIME, lo que resulta en la detección de SVG y posiblemente la ejecución de código JavaScript. Para evitar esto, el MIME sniffing está deshabilitado enviando la cabecera HTTP X-Content-Type-Options: nosniff.