CVE-2026-84369 in SVGO
요약
\~에 의해 VulDB • 2026. 09. 01.
SVGO(SVG Optimizer의 약자)는 SVG 파일을 최적화하기 위한 Node.js 라이브러리 및 명령줄 애플리케이션입니다. 버전 1.0.0부터 버전 2.8.4, 3.3.5 및 4.1.0까지 opt-in 방식인 removeScripts 플러그인은(버전 2와 3에서는 removeScriptElement로 명명됨) plugins/removeScripts.js에 구현되어 있으며 SVG 및 XHTML script 요소를 제거하지만 SVG foreignObject 요소 내의 실행 가능한 HTML 콘텐츠를 검사하지 않습니다. onload, onbeforetoggle과 같은 이벤트 핸들러 속성, srcdoc 문서, 그리고 action, data, formaction, href, src 속성에 포함된 실행 가능 URL은 공격자가 제어하는 SVG 입력에 남아 있을 수 있습니다. 애플리케이션이 이 플러그인을 유일한 보호 수단으로 사용하고 최적화된 SVG를 활성 브라우저 컨텍스트에서 제공하면 페이로드가 뷰어의 오리진에서 스크립트를 실행하여 데이터를 노출하거나 콘텐츠를 수정하거나 피해자로서 행동을 수행할 수 있습니다. 이 문제는 버전 2.8.4, 3.3.5 및 4.1.0에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.