CVE-2026-107380: Stored XSS in enshrined/svg-sanitize via DTD-entiteit en HTML5 named character reference-collision

Wat is er gebeurd

De sanitizer controleert hrefs nadat XML DTD-entiteiten zijn uitgebreid, maar saveXML() serialiseert vervolgens de oorspronkelijke entiteitsreferentie nadat de DTD-declaratie is verwijderd. Een speciaal geconstrueerde entiteit (bijvoorbeeld een Tab-entiteit) kan daardoor veilig lijken voor de sanitizer, terwijl HTML5 named character reference-resolutie bij inline rendering de overgebleven referentie naar witruimte omzet en een javascript: URL onthult. Wanneer de geschoonde SVG inline wordt ingebed, kan het volgen van die link script uitvoeren in de origin van de pagina. De fout is verholpen in versie 1.0.0. [Bronnen: 3976, 4174, 8433, 31854]

Technische oorzaak

De validatiefunctie (isHrefSafeValue()) loopt na XML DTD-entiteituitbreiding, terwijl saveXML() de oorspronkelijke entiteitsreferentie uitzendt nadat de DTD is verwijderd. Deze discrepantie maakt het mogelijk dat een entiteit de validatie passeert maar bij latere rendering alsnog tot een gevaarlijke URL leidt. Dit is een probleem in de neutralisatie van input dat tot cross-site scripting kan leiden. [Bronnen: 3976, 4174, 8433, 31854]

Waarom dit belangrijk is

Als een toepassing enshrined/svg-sanitize gebruikt om SVG's te sanitiseren en die geschoonde SVG's inline in HTML plaatst, kan een aanvaller met een speciaal vervaardigde SVG een link creëren die script uitvoert in de context van de pagina wanneer gebruikers die link activeren. Dit betekent een XSS-risico voor de betreffende site. [Bronnen: 3976, 4174, 8433, 31854]

Wie is getroffen

Applicaties en projecten die enshrined/svg-sanitize gebruiken om SVG-invoer te sanitiseren en die de geschoonde SVG inline in pagina's plaatsen, lopen risico. De advisories geven aan dat releases voor de fix kwetsbaar zijn; de leverancier lost het probleem op in 1.0.0. [Bronnen: 3976, 4174, 8433, 31854]

Ontdekking en tijdlijn

Publieke advisories en databases publiceerden details op 2026-10-08 (OSV en GitHub advisories). NVD registreert de vermelding met een publicatietijdstempel van 2026-10-08. De advisories geven 1.0.0 als de gerepareerde versie. De bronnen geven geen aanvullende informatie over actieve exploitatie of een openbaar exploit-tijdpad. [Bronnen: 3976, 4174, 8433, 31854]

Getroffen versies

Advisories noemen dat het probleem voorkomt in releases vóór de fix en verwijzen in sommige uitdrukkingen expliciet naar releases tot en met 0.22.0; de fixeerversie is 1.0.0. Behandel daarom alle geïnstalleerde releases die eerder dan 1.0.0 liggen (inclusief vermeldingen tot en met 0.22.0) als potentieel kwetsbaar. [Bronnen: 3976, 4174, 8433, 31854]

Oplossingen en mitigatie

Er is een leveranciersupdate beschikbaar; de advisories noemen 1.0.0 als gerepareerde versie. Het toepassen van de update naar 1.0.0 is de primaire remedie. De advisories geven geen andere mitigerende maatregelen als vervanging. [Bronnen: 3976, 4174, 8433, 31854]

Aanbevolen actie

Werk enshrined/svg-sanitize bij naar 1.0.0. Als bijwerken niet meteen mogelijk is, voorkom het inline inbedden van door gebruikers geleverde SVG's in HTML-pagina's of schakel server-side verwerking uit die DTD's en entiteituitbreiding toestaat voordat sanitisatie plaatsvindt. Controleer dependency lockfiles en deploy pipelines na het bijwerken. [Bronnen: 3976, 4174, 8433, 31854]