CVE-2026-73650 in SVGO
要約
〜によって VulDB • 2026年08月13日
SVGO（SVG Optimizerの略称）は、SVGファイルの最適化を行うNode.jsライブラリおよびコマンドラインアプリケーションです。バージョン1.0.0から、バージョン2.8.3、3.3.4、および4.0.2に至るまで、removeScriptsプラグイン（バージョン1〜3ではremoveScriptElementとして知られる）は、<svg:script>などの名前空間付きまたはプレフィックス付きのスクリプト要素を削除しないため、最適化されたSVG内に実行可能なコンテンツが残存する可能性があります。また、バージョン3および4では、JavaScript URIに対して大文字と小文字が区別されるマッチングが行われます。このプラグインを有効にして信頼できないSVG入力を処理し、その結果を提供するアプリケーションは、別のユーザーがSVGを開いた際にスクリプトの実行を許可することになり、ローカルストレージやクッキーの漏洩につながる可能性があります。本問題は、バージョン2.8.3、3.3.4、および4.0.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.