CVE-2026-84369 in SVGO
Zusammenfassung
von VulDB • 02.09.2026
SVGO (kurz für SVG Optimizer) ist eine Node.js-Bibliothek und eine Befehlszeilenanwendung zur Optimierung von SVG-Dateien. Von der Version 1.0.0 bis zu den Versionen 2.8.4, 3.3.5 und 4.1.0 entfernt das opt-in removeScripts-Plugin (in den Versionen 2 und 3 als removeScriptElement bezeichnet und implementiert in plugins/removeScripts.js) SVG- und XHTML-Skriptelemente, prüft jedoch nicht ausführbaren HTML-Inhalt innerhalb von SVG foreignObject-Elementen. Event-Handler-Attribute wie onload und onbeforetoggle, srcdoc-Dokumente sowie ausführbare URLs in den Attributen action, data, formaction, href und src können im vom Angreifer kontrollierten SVG-Eingabedaten verbleiben. Wenn eine Anwendung das Plugin als einzigen Schutzmechanismus verwendet und die optimierte SVG-Datei in einem aktiven Browserkontext bereitstellt, kann der Payload Skripte im Ursprung des Betrachters ausführen, Daten offenlegen, Inhalte modifizieren oder Aktionen im Namen des Opfers durchführen. Dieses Problem wurde in den Versionen 2.8.4, 3.3.5 und 4.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.