CVE-2026-84370

SVG Optimizer-in qısaltması olan SVGO, SVG fayllarını optimallaşdırmaq üçün nəzərdə tutulmuş bir Node.js kitabxanası və komanda sətri tətbiqidir. Versiya 1.0.0-dan etibarən versiyalar 2.8.4, 3.3.5 və 4.1.0-a qədər, versiya 2 və 3-də removeScriptElement adlandırılan könüllü removeScripts plagini, plugins/removeScripts.js və lib/svgo/tools.js fayllarında icra oluna bilən keçidləri tam şəkildə filtrləmir. Plagin, href ilə birlikdə svg:a kimi namespace prefiksli SVG anchor elementlərini və ya namespaced *:href dəyərlərini tanımır, həmçinin URL sxemlərini yoxlamazdan əvvəl ASCII tab, sətir sonu (line-feed) və ya carriage-return simvollarını silmir. Brauzerlər sxemi təhlil etməzdən əvvəl həmin simvolları sildiyi üçün icra oluna bilən keçidin plaginin yoxlamasından keçməsinə şərait yaranır. Tətbiq hücumçu tərəfindən idarə olunan SVG girişini emal etdikdə və nəticəni aktiv brauzer kontekstində təqdim etdikdə, sağ qalan keçidi aktivləşdirən qurban SVG-nin mənşəyində (origin) skripti icra edə, məlumatları ifşa edə, məzmunu dəyişdirə və ya qurban adına hərəkətlər yerinə yetirə bilər. Bu problem 2.8.4, 3.3.5 və 4.1.0 versiyalarında düzəldilmişdir.