Veille sécuritéFrontend
P4Moyenne
svg-sanitizer antérieur à 1.1.0 présente une vulnérabilité XSS permettant de contourner l’assainissement SVG au moyen de valeurs `javascript:` dans `animateTransform`. Le contenu peut exécuter du JavaScript lorsque des utilisateurs Safari cliquent sur le lien concerné ; mettre à niveau vers la version 1.1.0 ou ultérieure.
JavaScript
IdentifiantCVE-2026-121447
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.1.0
Source : NVD — CVE-2026-121447
Analyse technique
Un SVG préparé peut contourner le filtrage en faisant cibler l’attribut href par `animateTransform`. L’exécution décrite concerne les utilisateurs de Safari qui cliquent sur le lien.
Impact, versions et correctif
Événement datéLa publication NVD indiquée a eu lieu le 3 novembre 2026, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur qui clique sur un lien SVG spécialement construit.
Versions affectéesVersions antérieures à 1.1.0.
Version corrigée1.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-03T15:17:37.013Z
Mise à jour2026-11-03T15:17:37.177Z
Action recommandée
Mettre à niveau svg-sanitizer vers la version 1.1.0 ou ultérieure et ne pas ouvrir de SVG non fiable dans un navigateur vulnérable.
Sources
Priorisation DFS : P4 · 1 source(s).