CVE-2026-84369

SVG Optimizer-in qısaltması olan SVGO, SVG fayllarını optimallaşdırmaq üçün nəzərdə tutulmuş bir Node.js kitabxanası və komanda sətri tətbiqidir. Versiya 1.0.0-dan etibarən versiyalar 2.8.4, 3.3.5 və 4.1.0-a qədər, versiya 2 və 3-də removeScriptElement adlanan və plugins/removeScripts.js faylında tətbiq edilən könüllü removeScripts plagini, SVG və XHTML skript elementlərini silir, lakin SVG foreignObject elementləri daxilindəki icra oluna bilən HTML məzmununu yoxlamır. Hücumçu tərəfindən idarə olunan SVG girişində onload və onbeforetoggle kimi hadisə-idarəedici atributlar, srcdoc sənədləri, həmçinin action, data, formaction, href və src atributlarındakı icra oluna bilən URL-lər qala bilər. Tətbiq bu plaginindən yeganə müdafiə vasitəsi kimi istifadə etdikdə və optimallaşdırılmış SVG-ni aktiv brauzer kontekstində təqdim etdikdə, zərərli kod baxan şəxsin mənşəyində (origin) skripti icra edə, məlumatları ifşa edə, məzmunu dəyişdirə və ya qurban adına hərəkətlər yerinə yetirə bilər. Bu problem 2.8.4, 3.3.5 və 4.1.0 versiyalarında düzəldilmişdir.