CVE-2026-29074
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
SVGO, biblioteka Node.js do optymalizacji plików SVG, zawiera podatność na atak XML Entity Expansion (bomba XML). Od wersji 2.1.0 do 2.8.1, od 3.0.0 do 3.3.3 oraz przed 4.0.1, SVGO akceptuje niestandardowe encje XML bez zabezpieczeń przed ekspansją lub rekurencją encji. Mały plik XML (811 bajtów) może zablokować aplikację i doprowadzić do awarii procesu Node.js z powodu braku pamięci.
Ocena ryzyka
Atakujący może wysłać specjalnie spreparowany plik SVG, który spowoduje wyczerpanie pamięci JavaScript (JavaScript heap out of memory), prowadząc do odmowy usługi (DoS) i unieruchomienia aplikacji korzystającej z SVGO.
Rekomendacja
Należy niezwłocznie zaktualizować SVGO do wersji 2.8.1, 3.3.3 lub 4.0.1, w zależności od używanej głównej wersji. Po aktualizacji podatność zostanie wyeliminowana.
Inne podatności w SVGO
Zobacz wszystkie- CVE-2026-84370Wysokie
SVGO (SVG Optimizer), biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG, od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, ma podatność w opcjonalnym pluginie removeScripts (nazwanym removeScriptElement w wersjach 2 i 3), który niekompletnie filtruje wykonywalne linki w plugins/removeScripts.js i lib/svgo/tools.js. Plugin nie rozpoznaje elementów kotwicy SVG z prefiksem przestrzeni nazw, takich jak svg:a z href lub *:href, i nie usuwa znaków tabulacji, nowej linii ani powrotu karetki przed sprawdzeniem schematu URL. Przeglądarki usuwają te znaki przed parsowaniem schematu, co pozwala wykonywalnemu linkowi przejść kontrolę pluginu. Gdy aplikacja przetwarza dane SVG kontrolowane przez atakującego i serwuje wynik w aktywnym kontekście przeglądarki, ofiara, która aktywuje przetrwający link, może wykonać skrypt w kontekście SVG, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara.
- CVE-2026-84369Średnie
W SVGO (SVG Optimizer) od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, opcjonalny plugin removeScripts (removeScriptElement w wersjach 2 i 3) usuwa elementy script SVG i XHTML, ale nie sprawdza wykonywalnej zawartości HTML wewnątrz elementów foreignObject SVG. Atrybuty obsługi zdarzeń (np. onload, onbeforetoggle), dokumenty srcdoc oraz wykonywalne URL-e w atrybutach action, data, formaction, href i src mogą pozostać w kontrolowanym przez atakującego pliku SVG. Gdy aplikacja używa tego pluginu jako jedynej ochrony i serwuje zoptymalizowany SVG w aktywnym kontekście przeglądarki, ładunek może wykonać skrypt w kontekście widza, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara. Problem naprawiono w wersjach 2.8.4, 3.3.5 i 4.1.0.
- CVE-2026-73650Wysokie
SVGO (SVG Optimizer) to biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG. Od wersji 1.0.0 do wersji 2.8.3, 3.3.4 i 4.0.2 wtyczka removeScripts (nazwana removeScriptElement w wersjach 1-3) może pozostawić wykonywalną zawartość w zoptymalizowanych plikach SVG, ponieważ nie usuwa elementów skryptowych z przestrzenią nazw lub prefiksem, takich jak <svg:script>, a w wersjach 3 i 4 dopasowuje URI JavaScript z uwzględnieniem wielkości liter. Aplikacje przetwarzające niezaufane dane SVG z tą wtyczką i serwujące wynik mogą pozwolić na wykonanie skryptów, gdy inny użytkownik otworzy SVG, co może ujawnić lokalne dane lub ciasteczka. Problem naprawiono w wersjach 2.8.3, 3.3.4 i 4.0.2.
Oryginalny opis (angielski, źródło NVD)
SVGO, short for SVG Optimizer, is a Node.js library and command-line application for optimizing SVG files. From version 2.1.0 to before version 2.8.1, from version 3.0.0 to before version 3.3.3, and before version 4.0.1, SVGO accepts XML with custom entities, without guards against entity expansion or recursion. This can result in a small XML file (811 bytes) stalling the application and even crashing the Node.js process with JavaScript heap out of memory. This issue has been patched in versions 2.8.1, 3.3.3, and 4.0.1.