CVE-2026-73650
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
SVGO (SVG Optimizer) to biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG. Od wersji 1.0.0 do wersji 2.8.3, 3.3.4 i 4.0.2 wtyczka removeScripts (nazwana removeScriptElement w wersjach 1-3) może pozostawić wykonywalną zawartość w zoptymalizowanych plikach SVG, ponieważ nie usuwa elementów skryptowych z przestrzenią nazw lub prefiksem, takich jak <svg:script>, a w wersjach 3 i 4 dopasowuje URI JavaScript z uwzględnieniem wielkości liter. Aplikacje przetwarzające niezaufane dane SVG z tą wtyczką i serwujące wynik mogą pozwolić na wykonanie skryptów, gdy inny użytkownik otworzy SVG, co może ujawnić lokalne dane lub ciasteczka. Problem naprawiono w wersjach 2.8.3, 3.3.4 i 4.0.2.
Ocena ryzyka
Użytkownicy otwierający zoptymalizowane pliki SVG mogą być narażeni na wykonanie złośliwych skryptów, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację SVGO do wersji 2.8.3, 3.3.4 lub 4.0.2 lub nowszej, a także unikanie przetwarzania niezaufanych plików SVG bez odpowiednich zabezpieczeń.
Inne podatności w SVGO
Zobacz wszystkie- CVE-2026-84370Wysokie
SVGO (SVG Optimizer), biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG, od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, ma podatność w opcjonalnym pluginie removeScripts (nazwanym removeScriptElement w wersjach 2 i 3), który niekompletnie filtruje wykonywalne linki w plugins/removeScripts.js i lib/svgo/tools.js. Plugin nie rozpoznaje elementów kotwicy SVG z prefiksem przestrzeni nazw, takich jak svg:a z href lub *:href, i nie usuwa znaków tabulacji, nowej linii ani powrotu karetki przed sprawdzeniem schematu URL. Przeglądarki usuwają te znaki przed parsowaniem schematu, co pozwala wykonywalnemu linkowi przejść kontrolę pluginu. Gdy aplikacja przetwarza dane SVG kontrolowane przez atakującego i serwuje wynik w aktywnym kontekście przeglądarki, ofiara, która aktywuje przetrwający link, może wykonać skrypt w kontekście SVG, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara.
- CVE-2026-84369Średnie
W SVGO (SVG Optimizer) od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, opcjonalny plugin removeScripts (removeScriptElement w wersjach 2 i 3) usuwa elementy script SVG i XHTML, ale nie sprawdza wykonywalnej zawartości HTML wewnątrz elementów foreignObject SVG. Atrybuty obsługi zdarzeń (np. onload, onbeforetoggle), dokumenty srcdoc oraz wykonywalne URL-e w atrybutach action, data, formaction, href i src mogą pozostać w kontrolowanym przez atakującego pliku SVG. Gdy aplikacja używa tego pluginu jako jedynej ochrony i serwuje zoptymalizowany SVG w aktywnym kontekście przeglądarki, ładunek może wykonać skrypt w kontekście widza, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara. Problem naprawiono w wersjach 2.8.4, 3.3.5 i 4.1.0.
- CVE-2026-29074Wysokie
SVGO, biblioteka Node.js do optymalizacji plików SVG, zawiera podatność na atak XML Entity Expansion (bomba XML). Od wersji 2.1.0 do 2.8.1, od 3.0.0 do 3.3.3 oraz przed 4.0.1, SVGO akceptuje niestandardowe encje XML bez zabezpieczeń przed ekspansją lub rekurencją encji. Mały plik XML (811 bajtów) może zablokować aplikację i doprowadzić do awarii procesu Node.js z powodu braku pamięci.
Oryginalny opis (angielski, źródło NVD)
SVGO, short for SVG Optimizer, is a Node.js library and command-line application for optimizing SVG files. From version 1.0.0 until versions 2.8.3, 3.3.4, and 4.0.2, the removeScripts plugin, named removeScriptElement in versions 1 through 3, can leave executable content in optimized SVGs because it does not remove namespaced or prefixed script elements such as <svg:script> and, in versions 3 and 4, matches JavaScript URIs case sensitively. Applications that process untrusted SVG input with this plugin enabled and serve the result can allow scripts to execute when another user opens the SVG, exposing local storage or cookies. This issue is fixed in versions 2.8.3, 3.3.4, and 4.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS