SVG with embedded scripts can lead to cross-site scripting attacks in xml2rfc
xml2rfc allows script elements in SVG sources.
In HTML output having these script elements can lead to XSS attacks.
Sample XML snippet:
<artwork type="svg" src="data:image/svg+xml,%3Csvg viewBox='0 0 10 10' xmlns='http://www.w3.org/2000/svg'%3E%3Cscript%3E window.alert('Test Alert'); %3C/script%3E%3C/svg%3E">
</artwork>Impact
This vulnerability impacts website that publish HTML drafts and RFCs.
Patches
This has been fixed in version 3.12.4.
Workarounds
If SVG source is self-contained within the XML, scraping script elements from SVG files.
References
For more information
If you have any questions or comments about this advisory:
- Open an issue in xml2rfc
- Email us at operational-vulnerability@ietf.org
- Infrastructure and Services Vulnerability Disclosure
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Python (PyPI) | xml2rfc | < 3.12.4 | 3.12.4 |
Verweise
- Schwäche (CWE)
CWE-79- Plattform
- Python (PyPI)
- Paket
xml2rfc- Veröffentlicht
- 22.04.2022
- Aktualisiert
- 11.10.2026 12:18
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-cf4q-4cqr-7g7w - CC BY 4.0
Schwachstellenhistorie: xml2rfc
Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 4
- Erste → letzte
- 04.2022 09.2025
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Hoch 2
- Mittel 2
Veröffentlichungen pro Jahr
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 3
- 2026: 0
-
SVG with embedded scripts can lead to cross-site scripting attacks in xml2rfc dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.