CVE-2026-73650 in SVGO
Сводка
по VulDB • 13.08.2026
SVGO (SVG Optimizer) — это библиотека и приложение командной строки на Node.js для оптимизации SVG-файлов. Начиная с версии 1.0.0 вплоть до версий 2.8.3, 3.3.4 и 4.0.2 плагин removeScripts (в версиях от 1 до 3 называвшийся removeScriptElement) может оставлять исполняемый контент в оптимизированных SVG-файлах, поскольку он не удаляет элементы скриптов с пространством имен или префиксами, такие как <svg:script>, а также в версиях 3 и 4 осуществляет сопоставление URI JavaScript с учетом регистра. Приложения, обрабатывающие непроверенные входные SVG-данные с включенным этим плагином и предоставляющие результат для просмотра, могут позволить выполнение скриптов при открытии файла другим пользователем, что приводит к раскрытию данных локального хранилища или файлов cookie. Данная проблема исправлена в версиях 2.8.3, 3.3.4 и 4.0.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.