Veille sécuritéFrontend
P3Critique
L’avis signale du code malveillant dans pixsvg 0.2.0 : une fonction exportée peut reconstruire du JavaScript à partir d’un SVG fourni en entrée et l’exécuter avec eval(). Les applications qui transmettent des SVG non fiables à cette fonction risquent une exécution de code ; éviter cette version et ne pas utiliser le paquet avec des entrées non fiables.
JavaScript
IdentifiantAvis de sécurité
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : GHSA-78wv-pm46-pjqf — Malicious code in pixsvg (npm)
Analyse technique
La fonction exportée fetchDataFromSvg extrait une séquence binaire d’un commentaire SVG, la convertit en chaîne JavaScript puis l’envoie à eval().
Impact, versions et correctif
Événement datéAvis publié le 2026-09-30 à 03:31:45Z, dans la période demandée ; événement retenu : publication d’un avis de sécurité sur un paquet npm malveillant.
ImpactExécution de JavaScript contrôlé par l’entrée dans le processus de l’application consommatrice.
Versions affectéespixsvg 0.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-09-30T03:31:45Z
Mise à jour2026-09-30T03:31:46Z
Action recommandée
Éviter pixsvg 0.2.0 et ne pas transmettre de contenu SVG non fiable à fetchDataFromSvg.
Sources
Priorisation DFS : P3 · 1 source(s).