CVE-2026-84369 in SVGO
要約
〜によって VulDB • 2026年09月01日
SVGO（SVG Optimizerの略称）は、SVGファイルの最適化を行うNode.jsライブラリおよびコマンドラインアプリケーションです。バージョン1.0.0から2.8.4、3.3.5、および4.1.0までの間、オプトイン方式のremoveScriptsプラグイン（バージョン2および3ではremoveScriptElementとして命名され、plugins/removeScripts.jsで実装）はSVGおよびXHTMLのスクリプト要素を削除しますが、SVG foreignObject要素内の実行可能なHTMLコンテンツを検査しません。onloadやonbeforetoggleなどのイベントハンドラ属性、srcdocドキュメント、action、data、formaction、href、src属性内の実行可能URLが、攻撃者が制御するSVG入力に残る可能性があります。アプリケーションがこのプラグインを唯一の保護手段として使用し、最適化されたSVGをアクティブなブラウザコンテキストで提供する場合、ペイロードはビューアのオリジン内でスクリプトを実行したり、データを暴露したり、コンテンツを変更したり、被害者になりすましてアクションを実行したりする可能性があります。この問題はバージョン2.8.4、3.3.5、および4.1.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.