SVG with embedded scripts can lead to cross-site scripting attacks in xml2rfc
xml2rfc allows script elements in SVG sources.
In HTML output having these script elements can lead to XSS attacks.
Sample XML snippet:
<artwork type="svg" src="data:image/svg+xml,%3Csvg viewBox='0 0 10 10' xmlns='http://www.w3.org/2000/svg'%3E%3Cscript%3E window.alert('Test Alert'); %3C/script%3E%3C/svg%3E">
</artwork>Impact
This vulnerability impacts website that publish HTML drafts and RFCs.
Patches
This has been fixed in version 3.12.4.
Workarounds
If SVG source is self-contained within the XML, scraping script elements from SVG files.
References
For more information
If you have any questions or comments about this advisory:
- Open an issue in xml2rfc
- Email us at operational-vulnerability@ietf.org
- Infrastructure and Services Vulnerability Disclosure
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | xml2rfc | < 3.12.4 | 3.12.4 |
Odnośniki
- Słabość (CWE)
CWE-79- Platforma
- Python (PyPI)
- Paczka
xml2rfc- Ujawniono
- 22.04.2022
- Aktualizacja
- 11.10.2026 12:18
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-cf4q-4cqr-7g7w - CC BY 4.0
Historia podatności: xml2rfc
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 4
- Pierwsza → ostatnia
- 04.2022 09.2025
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
- Średnia 2
Ujawnienia w latach
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 3
- 2026: 0
-
SVG with embedded scripts can lead to cross-site scripting attacks in xml2rfc ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.