CVE-2026-84370
WysokieCVSS 8.2Streszczenie
SVGO (SVG Optimizer), biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG, od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, ma podatność w opcjonalnym pluginie removeScripts (nazwanym removeScriptElement w wersjach 2 i 3), który niekompletnie filtruje wykonywalne linki w plugins/removeScripts.js i lib/svgo/tools.js. Plugin nie rozpoznaje elementów kotwicy SVG z prefiksem przestrzeni nazw, takich jak svg:a z href lub *:href, i nie usuwa znaków tabulacji, nowej linii ani powrotu karetki przed sprawdzeniem schematu URL. Przeglądarki usuwają te znaki przed parsowaniem schematu, co pozwala wykonywalnemu linkowi przejść kontrolę pluginu. Gdy aplikacja przetwarza dane SVG kontrolowane przez atakującego i serwuje wynik w aktywnym kontekście przeglądarki, ofiara, która aktywuje przetrwający link, może wykonać skrypt w kontekście SVG, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara.
Ocena ryzyka
Podatność może pozwolić atakującemu na wykonanie skryptu w kontekście przeglądarki ofiary, co może prowadzić do kradzieży danych, modyfikacji treści lub nieautoryzowanych działań w imieniu użytkownika.
Rekomendacja
Zaleca się aktualizację SVGO do wersji 2.8.4, 3.3.5 lub 4.1.0, które zawierają poprawkę. Należy również unikać przetwarzania niezaufanych plików SVG lub serwowania wyników w aktywnym kontekście przeglądarki bez dodatkowych zabezpieczeń.
Inne podatności w SVGO
Zobacz wszystkie- CVE-2026-84369Średnie
W SVGO (SVG Optimizer) od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, opcjonalny plugin removeScripts (removeScriptElement w wersjach 2 i 3) usuwa elementy script SVG i XHTML, ale nie sprawdza wykonywalnej zawartości HTML wewnątrz elementów foreignObject SVG. Atrybuty obsługi zdarzeń (np. onload, onbeforetoggle), dokumenty srcdoc oraz wykonywalne URL-e w atrybutach action, data, formaction, href i src mogą pozostać w kontrolowanym przez atakującego pliku SVG. Gdy aplikacja używa tego pluginu jako jedynej ochrony i serwuje zoptymalizowany SVG w aktywnym kontekście przeglądarki, ładunek może wykonać skrypt w kontekście widza, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara. Problem naprawiono w wersjach 2.8.4, 3.3.5 i 4.1.0.
- CVE-2026-73650Wysokie
SVGO (SVG Optimizer) to biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG. Od wersji 1.0.0 do wersji 2.8.3, 3.3.4 i 4.0.2 wtyczka removeScripts (nazwana removeScriptElement w wersjach 1-3) może pozostawić wykonywalną zawartość w zoptymalizowanych plikach SVG, ponieważ nie usuwa elementów skryptowych z przestrzenią nazw lub prefiksem, takich jak <svg:script>, a w wersjach 3 i 4 dopasowuje URI JavaScript z uwzględnieniem wielkości liter. Aplikacje przetwarzające niezaufane dane SVG z tą wtyczką i serwujące wynik mogą pozwolić na wykonanie skryptów, gdy inny użytkownik otworzy SVG, co może ujawnić lokalne dane lub ciasteczka. Problem naprawiono w wersjach 2.8.3, 3.3.4 i 4.0.2.
- CVE-2026-29074Wysokie
SVGO, biblioteka Node.js do optymalizacji plików SVG, zawiera podatność na atak XML Entity Expansion (bomba XML). Od wersji 2.1.0 do 2.8.1, od 3.0.0 do 3.3.3 oraz przed 4.0.1, SVGO akceptuje niestandardowe encje XML bez zabezpieczeń przed ekspansją lub rekurencją encji. Mały plik XML (811 bajtów) może zablokować aplikację i doprowadzić do awarii procesu Node.js z powodu braku pamięci.
Oryginalny opis (angielski, źródło NVD)
SVGO, short for SVG Optimizer, is a Node.js library and command-line application for optimizing SVG files. From version 1.0.0 until versions 2.8.4, 3.3.5, and 4.1.0, the opt-in removeScripts plugin, named removeScriptElement in versions 2 and 3, incompletely filters executable links in plugins/removeScripts.js and lib/svgo/tools.js. The plugin does not recognize namespace-prefixed SVG anchor elements such as svg:a with href or namespaced *:href values, and it does not remove ASCII tab, line-feed, or carriage-return characters before checking URL schemes. Browsers remove those characters before parsing a scheme, allowing an executable link to pass the plugin's check. When an application processes attacker-controlled SVG input and serves the result in an active browser context, a victim who activates the surviving link can execute script in the SVG's origin, expose data, modify content, or perform actions as the victim. This issue is fixed in versions 2.8.4, 3.3.5, and 4.1.0.