CVE-2026-84369
ŚrednieCVSS 6.1Streszczenie
W SVGO (SVG Optimizer) od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, opcjonalny plugin removeScripts (removeScriptElement w wersjach 2 i 3) usuwa elementy script SVG i XHTML, ale nie sprawdza wykonywalnej zawartości HTML wewnątrz elementów foreignObject SVG. Atrybuty obsługi zdarzeń (np. onload, onbeforetoggle), dokumenty srcdoc oraz wykonywalne URL-e w atrybutach action, data, formaction, href i src mogą pozostać w kontrolowanym przez atakującego pliku SVG. Gdy aplikacja używa tego pluginu jako jedynej ochrony i serwuje zoptymalizowany SVG w aktywnym kontekście przeglądarki, ładunek może wykonać skrypt w kontekście widza, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara. Problem naprawiono w wersjach 2.8.4, 3.3.5 i 4.1.0.
Ocena ryzyka
Użytkownicy przeglądający zoptymalizowane pliki SVG mogą być narażeni na wykonanie skryptów (XSS), co może prowadzić do kradzieży danych, przejęcia sesji lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj SVGO do wersji 2.8.4, 3.3.5 lub 4.1.0 (lub nowszej) i rozważ dodatkowe zabezpieczenia, takie jak sanityzacja SVG przed optymalizacją.
Inne podatności w SVGO
Zobacz wszystkie- CVE-2026-84370Wysokie
SVGO (SVG Optimizer), biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG, od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, ma podatność w opcjonalnym pluginie removeScripts (nazwanym removeScriptElement w wersjach 2 i 3), który niekompletnie filtruje wykonywalne linki w plugins/removeScripts.js i lib/svgo/tools.js. Plugin nie rozpoznaje elementów kotwicy SVG z prefiksem przestrzeni nazw, takich jak svg:a z href lub *:href, i nie usuwa znaków tabulacji, nowej linii ani powrotu karetki przed sprawdzeniem schematu URL. Przeglądarki usuwają te znaki przed parsowaniem schematu, co pozwala wykonywalnemu linkowi przejść kontrolę pluginu. Gdy aplikacja przetwarza dane SVG kontrolowane przez atakującego i serwuje wynik w aktywnym kontekście przeglądarki, ofiara, która aktywuje przetrwający link, może wykonać skrypt w kontekście SVG, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara.
- CVE-2026-73650Wysokie
SVGO (SVG Optimizer) to biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG. Od wersji 1.0.0 do wersji 2.8.3, 3.3.4 i 4.0.2 wtyczka removeScripts (nazwana removeScriptElement w wersjach 1-3) może pozostawić wykonywalną zawartość w zoptymalizowanych plikach SVG, ponieważ nie usuwa elementów skryptowych z przestrzenią nazw lub prefiksem, takich jak <svg:script>, a w wersjach 3 i 4 dopasowuje URI JavaScript z uwzględnieniem wielkości liter. Aplikacje przetwarzające niezaufane dane SVG z tą wtyczką i serwujące wynik mogą pozwolić na wykonanie skryptów, gdy inny użytkownik otworzy SVG, co może ujawnić lokalne dane lub ciasteczka. Problem naprawiono w wersjach 2.8.3, 3.3.4 i 4.0.2.
- CVE-2026-29074Wysokie
SVGO, biblioteka Node.js do optymalizacji plików SVG, zawiera podatność na atak XML Entity Expansion (bomba XML). Od wersji 2.1.0 do 2.8.1, od 3.0.0 do 3.3.3 oraz przed 4.0.1, SVGO akceptuje niestandardowe encje XML bez zabezpieczeń przed ekspansją lub rekurencją encji. Mały plik XML (811 bajtów) może zablokować aplikację i doprowadzić do awarii procesu Node.js z powodu braku pamięci.
Oryginalny opis (angielski, źródło NVD)
SVGO, short for SVG Optimizer, is a Node.js library and command-line application for optimizing SVG files. From version 1.0.0 until versions 2.8.4, 3.3.5, and 4.1.0, the opt-in removeScripts plugin, named removeScriptElement in versions 2 and 3 and implemented in plugins/removeScripts.js, removes SVG and XHTML script elements but does not inspect executable HTML content inside SVG foreignObject elements. Event-handler attributes such as onload and onbeforetoggle, srcdoc documents, and executable URLs in the action, data, formaction, href, and src attributes can remain in attacker-controlled SVG input. When an application uses the plugin as its only protection and serves the optimized SVG in an active browser context, the payload can execute script in the viewer's origin, expose data, modify content, or perform actions as the victim. This issue is fixed in versions 2.8.4, 3.3.5, and 4.1.0.