CVE-2026-84370

SVG Optimizer'ın kısaltması olan SVGO, SVG dosyalarını optimize etmek için kullanılan bir Node.js kütüphanesi ve komut satırı uygulamasıdır. Versiyon 1.0.0'dan versiyonlar 2.8.4, 3.3.5 ve 4.1.0'a kadar, isteğe bağlı removeScripts eklentisi (versiyon 2 ve 3'te removeScriptElement olarak adlandırılmıştır), plugins/removeScripts.js ve lib/svgo/tools.js dosyalarındaki yürütülebilir bağlantıları eksik şekilde filtrelemektedir. Eklenti, href içeren svg:a gibi isim alanı öneki almış SVG çapa öğelerini veya isim alanı tanımlı *:href değerlerini tanımamakta ve URL şemalarını kontrol etmeden önce ASCII sekme, satır besleme veya satır başı karakterlerini kaldırmamaktadır. Tarayıcılar, bir şemayı ayrıştırmadan önce bu karakterleri kaldırdığından, yürütülebilir bir bağlantının eklentinin kontrolünü geçmesine izin vermektedir. Bir uygulama, saldırgan tarafından kontrol edilen SVG girdisini işlediğinde ve sonucu aktif bir tarayıcı bağlamında sunduğunda, hayatta kalan bağlantıyı etkinleştiren bir mağdur; SVG'nin kökeninde betik çalıştırabilir, verileri ifşa edebilir, içeriği değiştirebilir veya mağdur adına işlemler gerçekleştirebilir. Bu sorun 2.8.4, 3.3.5 ve 4.1.0 versiyonlarında düzeltilmiştir.