CVE-2026-84369 in SVGO
Riassunto
di VulDB • 01/09/2026
SVGO, acronimo di SVG Optimizer, è una libreria Node.js e un'applicazione da riga di comando per l'ottimizzazione dei file SVG. Dalla versione 1.0.0 fino alle versioni 2.8.4, 3.3.5 e 4.1.0, il plugin removeScripts (attivato su richiesta), denominato removeScriptElement nelle versioni 2 e 3 e implementato in plugins/removeScripts.js, rimuove gli elementi script SVG e XHTML ma non ispeziona i contenuti HTML eseguibili all'interno degli elementi foreignObject SVG. Gli attributi per gestori di eventi come onload e onbeforetoggle, i documenti srcdoc e gli URL eseguibili negli attributi action, data, formaction, href e src possono rimanere presenti nell'input SVG controllato dall'attaccante. Quando un'applicazione utilizza il plugin come unica protezione e serve l'SVG ottimizzato in un contesto browser attivo, il payload può eseguire script nel dominio del visualizzatore (viewer's origin), esporre dati, modificare contenuti o eseguire azioni per conto della vittima. Questo problema è risolto nelle versioni 2.8.4, 3.3.5 e 4.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.