Xss через картинку

На сайт с самописной cms залил картинку с <script>alert(“XSS!”)</script> в exif части. Алерт не происходит, но при скачивании с сайта назад, я получаю туже самую картинку, с <script>alert(“XSS!”)</script>. В статьях про подобную уязвимость как метод защиты от нее значится модифицирование заливаемого пользователем файла: htmlspecialchars(),изменение размера изображения или его формата. Значит ли это что на сайте стоит другой способ защиты? Или я просто туплю с алертом?

 

Так а с чего тебе должен показываться exif изображения?

 

возможно я чего то не допонимаю, но разве exif это не мета данные? И разве они не читаются?

 

Это метаданные изображения.
Прочесть ты их сможешь только каким-нибудь плагином для браузера.
Ну, или почти в любом вьювере изображений.

И, кстати, а куда именно-то ты вставляешь свой алерт в экзифе? Там параметров много же. И главное, чем ты его туда вставляешь?)

 

Использовал Exif farm, первоначально писал в тип камеры, но сейчас попробовал запихать алерт во все, что только можно=\ и все равно толку нет