CVE-2026-84370 in SVGO
Zusammenfassung
von VulDB • 02.09.2026
SVGO (kurz für SVG Optimizer) ist eine Node.js-Bibliothek und eine Befehlszeilenanwendung zur Optimierung von SVG-Dateien. Von der Version 1.0.0 bis zu den Versionen 2.8.4, 3.3.5 und 4.1.0 filtert das opt-in removeScripts-Plugin (in den Versionen 2 und 3 als removeScriptElement bezeichnet) ausführbare Links in plugins/removeScripts.js und lib/svgo/tools.js unvollständig. Das Plugin erkennt keine mit Namespace-Prefixes versehenen SVG-Achor-Elemente wie svg:a mit href oder namespaced *:href-Werten, und es entfernt ASCII-Zeichen für Tabulator, Zeilenvorschub (line-feed) oder Wagenrücklauf nicht vor der Prüfung von URL-Schemata. Browser entfernen diese Zeichen vor dem Parsen eines Schemas, wodurch ein ausführbarer Link die Überprüfung des Plugins umgehen kann. Wenn eine Anwendung angreiferkontrollierte SVG-Eingaben verarbeitet und das Ergebnis in einem aktiven Browser-Kontext bereitstellt, kann ein Opfer, das den verbleibenden Link aktiviert, Skripts im Ursprung (Origin) der SVG ausführen, Daten offenlegen, Inhalte modifizieren oder Aktionen als das Opfer durchführen. Dieses Problem wurde in den Versionen 2.8.4, 3.3.5 und 4.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.