- Yama var
- Son 7 gün
- CWE-248
CVE-2026-117541
svg-sanitizer'da sanitize fonksiyonunda yakalanmamış LogicException ile hizmet reddi
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, dosya yükleme gibi işlevleri olan uygulamalarda hizmetin kesilmesine yol açabilir. Saldırı uzaktan ve kimlik doğrulama gerektirmeden yapılabildiği için risk orta düzeydedir. Kullanılan kütüphanenin güncellenmesi, iş sürekliliği açısından kısa sürede planlanmalıdır.
ÖzetTürkçe
svg-sanitizer kütüphanesinin 0.11.0 ile 1.1.0 öncesi sürümleri, geçerli XML ancak üst düzeyde svg kök öğesi bulunmayan belgeleri yakalayamaz. Saldırgan kök öğesi svg olmayan ya da iç içe svg öğesi içeren bir belge göndererek Sanitizer::sanitize metodunun false döndürmek yerine LogicException fırlatmasına neden olabilir. Bu durum kütüphaneyi kullanan uygulamaları etkiler.
Saldırgan ne yapabilir?
Saldırgan, kütüphaneyi kullanan iş süreçlerini (worker) çökertebilir ve hizmet kesintisine yol açabilir. Ayrıca yükleme reddi mekanizmasının atlanmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
svg-sanitizer from 0.11.0 before 1.1.0 contains an uncaught exception vulnerability that allows attackers to crash callers by submitting well-formed XML without a top-level svg root. Attackers can supply documents with a non-svg root or nested svg element, causing Sanitizer::sanitize() to throw a LogicException instead of returning false, crashing workers or bypassing upload rejection.
Ne yapmalı?
- svg-sanitizer kütüphanesini 1.1.0 veya sonraki bir sürüme yükseltin. Üretici
- Güncellemeden önce, sanitize çağrılarını bir try-catch bloğu içine alarak LogicException hatalarının yakalanmasını ve yüklemenin reddedilmesini sağlayın. Genel öneri
- Yükleme işlemlerinde SVG dosyalarını kabul etmeden önce kök öğe yapısını ayrıca doğrulayın. Genel öneri
Ek önlemler
- Kullandığınız bağımlılıkların sürümlerini düzenli olarak envanterleyin ve bilinen güvenlik açıklarını takip edin. Genel öneri
- Sanitizer hatalarını ve worker çökmelerini izleyin; ani artışlar saldırı belirtisi olabilir. Genel öneri
- SVG yükleme alanlarında boyut sınırı ve istek hızı sınırlaması uygulayarak kötüye kullanımı azaltın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| darylldoyle svg-sanitizer | ≥ 0.11.0, < 1.1.0 | 1.1.0 |
| 1.1.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.