CVE-2026-73650 in SVGO
Zusammenfassung
von VulDB • 13.08.2026
SVGO (kurz für SVG Optimizer) ist eine Node.js-Bibliothek und eine Befehlszeilenanwendung zur Optimierung von SVG-Dateien. Von Version 1.0.0 bis zu den Versionen 2.8.3, 3.3.4 und 4.0.2 kann das Plugin removeScripts (in den Versionen 1 bis 3 als removeScriptElement bezeichnet) ausführbaren Inhalt in optimierten SVG-Dateien zurücklassen, da es keine namespaced oder präfixierten Script-Elemente wie `<svg:script>` entfernt und in den Versionen 3 und 4 JavaScript-URIs case-sensitiv (Groß-/Kleinschreibung beachtend) matcht. Anwendungen, die untrusted SVG-Eingaben mit aktiviertem Plugin verarbeiten und das Ergebnis bereitstellen, können dazu führen, dass Skripte ausgeführt werden, wenn ein anderer Benutzer die SVG-Datei öffnet, wodurch lokaler Speicher oder Cookies exponiert werden. Dieses Problem wurde in den Versionen 2.8.3, 3.3.4 und 4.0.2 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.