CVE-2026-73650 in SVGO
Tóm tắt
Bởi VulDB • 13/08/2026
SVGO, viết tắt của SVG Optimizer, là một thư viện Node.js và ứng dụng dòng lệnh để tối ưu hóa các tệp SVG. Từ phiên bản 1.0.0 đến các phiên bản 2.8.3, 3.3.4 và 4.0.2, plugin removeScripts (được gọi là removeScriptElement trong các phiên bản từ 1 đến 3) có thể để lại nội dung thực thi được trong các tệp SVG đã tối ưu hóa do không loại bỏ các phần tử script có namespace hoặc tiền tố như <svg:script> và, ở các phiên bản 3 và 4, khớp với URI JavaScript theo kiểu phân biệt chữ hoa/thường. Các ứng dụng xử lý đầu vào SVG từ nguồn đáng ngờ khi plugin này được bật và cung cấp kết quả cho người dùng khác có thể khiến mã script thực thi khi một người dùng khác mở tệp SVG, dẫn đến việc lộ thông tin lưu trữ cục bộ hoặc cookie. Vấn đề này đã được khắc phục trong các phiên bản 2.8.3, 3.3.4 và 4.0.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.