На сайт с самописной cms залил картинку с alert(“XSS!”) в exif части. Алерт не происходит, но при скачивании с сайта назад, я получаю туже самую картинку, с alert(“XSS!”). В статьях про подобную уязвимость как метод защиты от нее значится модифицирование заливаемого пользователем файла: htmlspecialchars(),изменение размера изображения или его формата. Значит ли это что на сайте стоит другой способ защиты? Или я просто туплю с алертом?

Так а с чего тебе должен показываться exif изображения?

возможно я чего то не допонимаю, но разве exif это не мета данные? И разве они не читаются?

Это метаданные изображения.

Прочесть ты их сможешь только каким-нибудь плагином для браузера.

Ну, или почти в любом вьювере изображений.

И, кстати, а куда именно-то ты вставляешь свой алерт в экзифе? Там параметров много же. И главное, чем ты его туда вставляешь?)

Использовал Exif farm, первоначально писал в тип камеры, но сейчас попробовал запихать алерт во все, что только можно=\ и все равно толку нет