Podatności SVGO

SVGO (SVG Optimizer), biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG, od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, ma podatność w opcjonalnym pluginie removeScripts (nazwanym removeScriptElement w wersjach 2 i 3), który niekompletnie filtruje wykonywalne linki w plugins/removeScripts.js i lib/svgo/tools.js. Plugin nie rozpoznaje elementów kotwicy SVG z prefiksem przestrzeni nazw, takich jak svg:a z href lub *:href, i nie usuwa znaków tabulacji, nowej linii ani powrotu karetki przed sprawdzeniem schematu URL. Przeglądarki usuwają te znaki przed parsowaniem schematu, co pozwala wykonywalnemu linkowi przejść kontrolę pluginu. Gdy aplikacja przetwarza dane SVG kontrolowane przez atakującego i serwuje wynik w aktywnym kontekście przeglądarki, ofiara, która aktywuje przetrwający link, może wykonać skrypt w kontekście SVG, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara.

W SVGO (SVG Optimizer) od wersji 1.0.0 do 2.8.4, 3.3.5 i 4.1.0, opcjonalny plugin removeScripts (removeScriptElement w wersjach 2 i 3) usuwa elementy script SVG i XHTML, ale nie sprawdza wykonywalnej zawartości HTML wewnątrz elementów foreignObject SVG. Atrybuty obsługi zdarzeń (np. onload, onbeforetoggle), dokumenty srcdoc oraz wykonywalne URL-e w atrybutach action, data, formaction, href i src mogą pozostać w kontrolowanym przez atakującego pliku SVG. Gdy aplikacja używa tego pluginu jako jedynej ochrony i serwuje zoptymalizowany SVG w aktywnym kontekście przeglądarki, ładunek może wykonać skrypt w kontekście widza, ujawnić dane, zmodyfikować treść lub wykonać działania jako ofiara. Problem naprawiono w wersjach 2.8.4, 3.3.5 i 4.1.0.

SVGO (SVG Optimizer) to biblioteka Node.js i aplikacja CLI do optymalizacji plików SVG. Od wersji 1.0.0 do wersji 2.8.3, 3.3.4 i 4.0.2 wtyczka removeScripts (nazwana removeScriptElement w wersjach 1-3) może pozostawić wykonywalną zawartość w zoptymalizowanych plikach SVG, ponieważ nie usuwa elementów skryptowych z przestrzenią nazw lub prefiksem, takich jak <svg:script>, a w wersjach 3 i 4 dopasowuje URI JavaScript z uwzględnieniem wielkości liter. Aplikacje przetwarzające niezaufane dane SVG z tą wtyczką i serwujące wynik mogą pozwolić na wykonanie skryptów, gdy inny użytkownik otworzy SVG, co może ujawnić lokalne dane lub ciasteczka. Problem naprawiono w wersjach 2.8.3, 3.3.4 i 4.0.2.

SVGO, biblioteka Node.js do optymalizacji plików SVG, zawiera podatność na atak XML Entity Expansion (bomba XML). Od wersji 2.1.0 do 2.8.1, od 3.0.0 do 3.3.3 oraz przed 4.0.1, SVGO akceptuje niestandardowe encje XML bez zabezpieczeń przed ekspansją lub rekurencją encji. Mały plik XML (811 bajtów) może zablokować aplikację i doprowadzić do awarii procesu Node.js z powodu braku pamięci.