CVE-2026-84369 in SVGO
Resumen
por VulDB • 2026-09-02
SVGO, abreviatura de SVG Optimizer (Optimizador de SVG), es una biblioteca y aplicación de línea de comandos para Node.js destinada a optimizar archivos SVG. Desde la versión 1.0.0 hasta las versiones 2.8.4, 3.3.5 y 4.1.0, el plugin removeScripts (opcional), denominado removeScriptElement en las versiones 2 y 3 e implementado en plugins/removeScripts.js, elimina los elementos de script SVG y XHTML pero no inspecciona el contenido HTML ejecutable dentro de los elementos foreignObject de SVG. Los atributos manejadores de eventos como onload y onbeforetoggle, los documentos srcdoc y las URLs ejecutables en los atributos action, data, formaction, href y src pueden permanecer presentes en la entrada SVG controlada por un atacante. Cuando una aplicación utiliza el plugin como su única medida de protección y sirve el SVG optimizado en un contexto del navegador activo, la carga útil puede ejecutar scripts en el origen del visor, exponer datos, modificar contenido o realizar acciones en nombre de la víctima. Este problema se soluciona en las versiones 2.8.4, 3.3.5 y 4.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.