svg-sanitizer: Denial of Service durch quadratisches Entfernen von PHP-Tags
Zusammenfassung
svg-sanitizer von 0.5.3 vor 1.1.0 ist eine PHP-Bibliothek, die hochgeladene SVG-Dateien bereinigt. Die Schleife zum Entfernen von PHP-Tags durchsucht bei jedem Durchlauf die gesamte Eingabe, weshalb die Verarbeitungszeit quadratisch mit der Eingabegrösse wächst. Ein nicht authentifizierter Angreifer, der eine SVG-Datei mit vielen überlappenden PHP-Tag-Öffnern und -Schliessern hochladen kann, kann die CPU des Webservers für Sekunden bis Minuten pro Anfrage auslasten. Die Standardkonfiguration ist betroffen.
Betroffen
- svg-sanitizer (Packagist: enshrined/svg-sanitize) von 0.5.3 vor 1.1.0
- Downstream-Anwendungen und Plugins, die eine betroffene Version enthalten
- Versionen vor 0.5.3: Unbekannt.
Behoben in
- Auf 1.1.0 oder neuer aktualisieren; 1.1.1 ist das empfohlene Ziel, da ein neuer Fehler aus 1.1.0 behoben wird.
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- Falls ein Update warten muss, SVG-Uploads auf authentifizierte Benutzer beschränken, die Upload-Grösse und -Rate auf Webserver- oder WAF-Ebene begrenzen und die Auslastung der PHP-FPM-Worker überwachen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept oder Exploit-Code gefunden; dies ist vorläufig.
- Das Herstellerhinweis beschreibt einen Proof of Concept mit gemessenen Laufzeiten.
Unsere Empfehlung
- Prüfen, ob eine Anwendung oder ein Plugin svg-sanitizer verwendet und welche Version enthalten ist.
- Auf 1.1.1 oder neuer aktualisieren und Uploads testen, da einige Eingaben nun abgewiesen werden.
- Bis zum Update SVG-Uploads auf vertrauenswürdige Benutzer beschränken und die Upload-Grösse begrenzen.
- CPU- und Worker-Auslastung des Webservers auf Anzeichen von Missbrauch überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2v7c-jx29-jprp github.com
- svg-sanitizer 1.1.0 release github.com
- svg-sanitizer 1.1.1 release github.com
- Fix commit 9ba9001 github.com
- VulnCheck advisory www.vulncheck.com
- VulDB entry 427140 vuldb.com
- OSV record via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:58.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.