Web uygulaması savunmalarına yönelik kapsamlı bir güvenlik denetiminde araştırmacı Gareth Heyes, yaygın olarak kullanılan sekiz SVG temizleme kütüphanesini cross-site scripting (XSS) vektörlerine karşı test ederek etkinliklerini değerlendirdi. Çalışma sonucunda, sekiz kütüphaneden altısının —mattkrick/sanitize-svg, Borewit/svg-sanitizer, bgalek/safe-svg, alnorris/SVG-Sanitizer, cloudflare/svg-hush ve jams2/py-svg-hush— belirli payload'lar kullanılarak aşılabildiği tespit edildi. Sadece DOMPurify ve darylldoyle/svg-sanitizer tüm test edilen saldırılara karşı güvenli kalırken, bu durum SVG işleme araçlarının genel ekosistemindeki ciddi bir güvenlik açığını gözler önüne serdi. İlk atlatma kategorisi, mattkrick/sanitize-svg kütüphanesini şu yöntemlerle hedef aldı…

Konular: Web Güvenliği: SVG Açıkları ve XSS Tehlikesi

SiteM’de tam özet, flashcard ve quiz →

Orijinal kaynak: portswigger.net

Kaynak: sitem.co — paylas.io yer imi / keşif katmanı.