CVE-2026-84369 in SVGO
الملخص
بحسب VulDB • 01/09/2026
SVGO، وهو اختصار لـ SVG Optimizer (مُحسّن ملفات SVG)، هو مكتبة Node.js وتطبيق سطر أوامر لتحسين ملفات SVG. من الإصدار 1.0.0 حتى الإصدارات 2.8.4 و3.3.5 و4.1.0، لا تقوم إضافة removeScripts الاختيارية (المعروفة باسم removeScriptElement في الإصدارات 2 و3 والمُنفذة عبر الملف plugins/removeScripts.js) بفحص محتوى HTML القابل للتنفيذ داخل عناصر SVG foreignObject على الرغم من إزالة عناصر script الخاصة بـ SVG وXHTML. يمكن أن تبقى سمات معالجات الأحداث مثل onload وonbeforetoggle، ومستندات srcdoc، والروابط القابلة للتنفيذ في السمات action وdata وformaction وhref وsrc ضمن مدخلات SVG التي يتحكم فيها المهاجم. عندما تستخدم التطبيق هذه الإضافة كحمايته الوحيدة ويقدم ملفات SVG المُحسّنة في سياق متصفح نشط (active browser context)، يمكن للحملة تنفيذ نصوص برمجية داخل أصل المتصفح (viewer's origin)، وكشف البيانات، أو تعديل المحتوى، أو تنفيذ إجراءات بصفتها الضحية. تم إصلاح هذه المشكلة في الإصدارات 2.8.4 و3.3.5 و4.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.