PortSwigger研究员Gareth Heyes测试了八款流行的SVG清理库，成功绕过其中六款，揭示了广泛使用的安全工具中的关键漏洞。研究展示了利用命名空间混淆将HTML注入SVG以及Firefox和Safari等浏览器非常规行为的新攻击向量。
背景
SVG清理是防止允许SVG上传的Web应用中XSS攻击的关键防御手段。DOMPurify和svg-sanitizer等流行库被广泛部署，但可能存在不完整的保护机制。
- 来源
- Lobsters
- 发布时间
- 2026年10月28日 15:26
- 评分
- 7.0 / 10