CVE-2026-5026该漏洞存在于 `/api/v1/files/images/{flow_id}/{file_name}` 接口，服务器在提供 SVG 文件时未清理内容。由于 SVG 可嵌入 JavaScript，攻击者上传恶意文件后，受害者查看即可触发存储型 XSS，导致 JWT 令牌等认证信息被窃取。
漏洞核心在于服务器端对用户上传的 SVG 文件缺乏有效的安全过滤机制。SVG 本质上是基于 XML 的矢量图形格式，支持嵌入 `<script>` 标签以及 `onload`、`onerror` 等事件处理器。当应用程序通过特定端点以 `image/svg+xml` 内容类型直接返回用户上传的文件时，现代浏览器会将其作为图像渲染，并自动执行其中嵌入的 JavaScript 代码。攻击者仅需低权限账号即可上传构造好的恶意 SVG 文件。当管理员或其他用户在查看该图像时，恶意脚本即在受害者浏览器会话中执行。攻击者可利用此漏洞通过 `document.cookie` 读取敏感的 JWT 访问令牌和刷新令牌，并发送至远程服务器，进而导致账户接管和进一步的权限提升。