svg-sanitizer: Mixed-case xlink:HrEf omzeilt de <use>-nesting-DoS-controle (CVE-2026-107381)

Wat er gebeurde

Resolver::processReferences() zoekt <use>-elementen met een case-gevoelige XPath-predicate (bijvoorbeeld use[@href or @xlink:href]); een gemengd-hoofdletter attribuut zoals xlink:HrEf wordt daardoor niet gevonden en niet aan de referentiegraf toegevoegd. Later in dezelfde sanitize-run zet Sanitizer::cleanHrefAttributes() de attribuutnaam terug naar kleine letters, waardoor de uitvoer canonieke xlink:href-waarden bevat maar de geneste <use>-structuur intact blijft. Het gevolg is een nesting-DoS die bij canonieke invoer wel zou zijn weggefilterd. (Bronnen: 3974, 4173, 8432)

Technische oorzaak

Het probleem is een combinatie van volgorde en case-gevoeligheid: de resolver bouwt eerst de referentiegraf met case-gevoelige naamselectie, en vervolgens vindt pas normalisatie van attribuutnamen plaats. Omdat de resolver de genormaliseerde naam niet ziet, worden knopen met gemengde hoofdletters overgeslagen en niet geneutraliseerd door de nesting-bescherming. De advisering noemt twee oplossingsrichtingen: naamvergelijking case-insensitief maken bij het bouwen van de graf of de attribuutnormalisatie vóór de resolver laten lopen. (Bronnen: 3974, 4173, 8432)

Waarom dit belangrijk is

Een aanvaller die een SVG kan uploaden of plakken kan een bestand aanleveren dat, ondanks sanitatie, een diep geneste <use>-structuur behoudt. De output bevat canonieke xlink:href-attributen maar houdt de oorspronkelijke nesting die de useNestingLimit had moeten neutraliseren. De advisering meette dat nullificatie werd overgeslagen en dat attributen weer canoniek werden gemaakt, maar heeft de werkelijke impact op renderer CPU/geheugen niet gemeten. (Bronnen: 3974, 4173, 8432)

Wie is getroffen

Applicaties en projecten die enshrined/svg-sanitize gebruiken om door gebruikers aangeleverde SVG's te sanitiseren en die een kwetsbare release draaien zijn getroffen. Misbruik vereist alleen de mogelijkheid om een SVG in te dienen; er zijn geen speciale rechten nodig. (Bronnen: 3974, 4173, 8432)

Ontdekking en tijdlijn

De advisering is gepubliceerd op 2026-10-08T19:41:10+02:00. De proof-of-concept is uitgevoerd tegen tag 0.22.0 en testobservaties werden gedaan op PHP 8.5.9: canonieke invoer ging van 201 <use>-elementen naar 0, terwijl de mixed-case invoer 201 behield en de uitvoer alsnog canonieke attributen vertoonde. De bronnen vermelden geen claim van actieve uitbuiting of een vendorverklaring. (Bronnen: 3974, 4173, 8432)

Getroffen versies

De advisering geeft aan dat releases tot en met 0.22.0 kwetsbaar zijn. Er is een gefixeerde release beschikbaar in 1.0.0. Zie de advisering voor details en controleer uw afhankelijkheden. (Bronnen: 3974, 4173, 8432)

Oplossingen en mitigatie

Een correctie is beschikbaar; 1.0.0 wordt als gefixeerde versie genoemd. De advisering adviseert ofwel case-insensitieve naamvergelijking bij het bouwen van de referentiegraf, ofwel attribuutnormalisatie vóór het verzamelen van referenties. Beide benaderingen voorkomen dat knopen met gemengde hoofdletters worden gemist. (Bronnen: 3974, 4173, 8432)

Aanbevolen actie

Werk enshrined/svg-sanitize bij naar 1.0.0 zodra dat mogelijk is. Als bijwerken niet direct kan, zorg dat attributen worden genormaliseerd vóórdat de referentiegraf wordt opgebouwd, of backport de resolver-wijziging die mixed-case attributen accepteert. Gebruik de testfixture (useDosTest.svg) om na te gaan dat de nesting-structuur daadwerkelijk wordt verwijderd. (Bronnen: 3974, 4173, 8432)