Veille sécuritéBackend & données
P4Moyenne
svg-sanitizer présente une faiblesse dans le traitement des références SVG avant la version 1.0.0. Des références imbriquées utilisant une casse mixte dans l’attribut xlink:href peuvent contourner la limite de nesting et exposer l’application qui affiche le SVG nettoyé à un épuisement de ressources.
PHP
IdentifiantCVE-2026-107381
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.0.0
Source : NVD — CVE-2026-107381
Analyse technique
Le graphe des références est construit avec une comparaison sensible à la casse avant la normalisation des noms d’attributs.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14, dans la période demandée.
ImpactÉpuisement de ressources dans les applications qui rendent le SVG nettoyé.
Versions affectéesVersions antérieures à 1.0.0
Version corrigée1.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
Publication2026-10-14T15:17:06.327Z
Mise à jour2026-10-14T15:17:06.327Z
Action recommandée
Mettre à jour svg-sanitizer vers la version 1.0.0.
Sources
Priorisation DFS : P4 · 1 source(s).