- Yama var
- Son 7 gün
- CWE-400
CVE-2026-121444
svg-sanitizer kütüphanesinde use referans grafiğinde algoritmik karmaşıklık nedeniyle hizmet reddi (DoS)
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu zafiyet, SVG dosyası yükleyen web sitelerinin ve uygulamaların geçici olarak erişilemez hale gelmesine yol açabilir. Saldırı kolaydır ve kimlik doğrulama gerektirmez, bu nedenle hizmet sürekliliği açısından öncelikli olarak ele alınmalıdır. Güncelleme genellikle hızlı ve düşük maliyetli bir işlemdir.
ÖzetTürkçe
svg-sanitizer kütüphanesinin 0.11.0 ile 1.1.0 öncesi sürümlerinde, use referans grafiği analizini yapan hasInfiniteLoop ve countUse fonksiyonlarında algoritmik karmaşıklık kaynaklı bir hizmet reddi (DoS) zafiyeti bulunmaktadır. Saldırgan, 15 seviyeli ve dallanmış use öğeleri içeren küçük boyutlu bir SVG dosyası yükleyerek üstel yol numaralandırmasına neden olabilir. Bu durum, SVG temizleyicisini kullanan PHP uygulamalarını etkiler.
Saldırgan ne yapabilir?
Saldırgan, tek bir küçük dosyayla PHP işçi süreçlerini saatlerce meşgul ederek sunucu kaynaklarını tüketebilir ve servisin yanıt vermemesine yol açabilir. Veri gizliliği veya bütünlüğü üzerinde doğrudan bir etki beklenmez.
Kaynaktaki açıklama (İngilizce)
svg-sanitizer from 0.11.0 before 1.1.0 contains an algorithmic complexity denial of service vulnerability in hasInfiniteLoop() and countUse() of the use reference-graph analysis. Attackers can upload a small layered SVG with 15 levels of fanned-out use elements, forcing exponential path enumeration that pins PHP workers for hours.
Ne yapmalı?
- svg-sanitizer kütüphanesini 1.1.0 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar, kullanıcıların yüklediği SVG dosyalarını bu kütüphane ile işlemeden önce boyut ve iç içe geçme derinliğine göre sınırlandırın veya SVG yüklemelerini geçici olarak devre dışı bırakın. Genel öneri
- PHP işçi süreçleri için zaman aşımı ve bellek sınırları tanımlayarak tek bir isteğin kaynakları sınırsız tüketmesini engelleyin. Genel öneri
Ek önlemler
- Kullanıcı yüklemelerinde SVG dosyalarını sunucu tarafında işlemeden önce dosya boyutunu makul bir üst sınırla kontrol edin. Genel öneri
- PHP işçi süreçlerinin uzun süre takılı kalmasını izlemek için sunucu performans metriklerine uyarı kuralları ekleyin. Genel öneri
- Yalnızca güvenilir kaynaklardan gelen SVG dosyalarının işlenmesine izin verilip verilmediğini gözden geçirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| darylldoyle svg-sanitizer | ≥ 0.11.0, < 1.1.0 | 1.1.0 |
| 1.1.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.