RealFeedApp Браузеры запускают скрипты в SVG без фильтрации
Исследование показало, что восемь популярных библиотек для очистки SVG-файлов пропускают выполнение JavaScript. Уязвимость позволяет внедрять скрипты через заголовки ответов или импортировать GIF как SVG.
- Область
- компьютерная безопасность
- Что сделали
- Исследователь обнаружил, что в некоторых библиотеках для очистки SVG-изображений можно запустить JavaScript, изменив XML-пространство имен одного элемента на XHTML, или заставив Safari импортировать GIF как SVG.
- Зачем это
- Это позволяет выполнять вредоносный код в браузере Firefox и Safari, даже если само изображение содержит только безобидный XML, что создает уязвимость для приложений, принимающих загруженные изображения.
#svg#security#sanitizer#vulnerability#javascript
