GHSA-jj9r-xgj6-prvj: сохранённый XSS в openEQUELLA

В версиях openEQUELLA до 2026.1 конечная точка загрузки изображения для уведомления перед входом не проверяет тип загружаемых файлов и передаёт их с Content-Type, полученным из имени файла. Пользователь с разрешением EDIT_SYSTEM_SETTINGS может загрузить HTML-файл, который затем передаётся как text/html из источника openEQUELLA, что приводит к сохранённому межсайтовому скриптингу (XSS).