- Yama var
- Son 7 gün
- CWE-79
CVE-2026-117539
darylldoyle svg-sanitizer'da CSS enjeksiyonu ve uzak referans atlatma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteminize yüklenen kötü niyetli görsel dosyalar aracılığıyla ziyaretçilerinizin bilgilerinin izlenmesine ya da sızdırılmasına yol açabilir. Risk düşük seviyededir ancak kütüphanenin güncellenmesi kolay ve önerilir. Kullanıcı verilerinin korunması açısından planlı bir güncelleme yeterlidir.
ÖzetTürkçe
darylldoyle svg-sanitizer kütüphanesinin 1.0.0 öncesi sürümlerinde, temizlenmemiş stil içeriği, tırnaksız url değerleri ve görsel href öznitelikleri üzerinden dış kaynak yerleştirilmesine izin veren CSS enjeksiyonu ve uzak referans atlatma açıkları bulunmaktadır. Açık, hazırlanmış SVG dosyalarının yüklenmesiyle tetiklenebilir. Etkilenen olan, SVG yükleme özelliği sunan ve bu kütüphaneyi kullanan uygulamalardır.
Saldırgan ne yapabilir?
Saldırgan, sayfadaki verileri dışarı sızdırabilir, kullanıcıları izleyebilir ve ziyaretçilerin IP adreslerini ele geçirebilir. Kullanıcının etkileşimi gerekmektedir (UI:R).
Kaynaktaki açıklama (İngilizce)
darylldoyle svg-sanitizer before 1.0.0 contains CSS injection and remote reference bypass vulnerabilities that allow attackers to embed external resources by uploading crafted SVG files. Attackers can use unsanitized style content, unquoted url() values, or image href attributes to exfiltrate page data, track users, or disclose visitor IP addresses.
Ne yapmalı?
- svg-sanitizer kütüphanesini 1.0.0 veya sonraki bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar SVG yükleme özelliğini geçici olarak devre dışı bırakın ya da yüklenen SVG dosyalarını kabul etmeden önce ek doğrulama uygulayın. Genel öneri
Ek önlemler
- Kullanıcıların yükleyebildiği SVG dosyalarını yalnızca güvenilir kaynaklardan kabul edin ve mümkünse görselleri sunucu tarafında yeniden işleyerek (rasterleştirerek) sunun. Genel öneri
- Yanıt başlıklarında içerik güvenlik politikası (Content Security Policy) uygulayarak dış kaynak yüklenmesini kısıtlayın. Genel öneri
- Sunucu günlüklerinde olağandışı dış istekleri ve SVG yükleme etkinliğini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| darylldoyle svg-sanitizer | < 1.0.0 | 1.0.0 |
| 1.0.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.