cloudflare/svg-hushHaz que sea seguro servir archivos SVG no confiables
El objetivo de esta herramienta es hacer que archivos SVG arbitrarios sean tan benignos y seguros de servir como imágenes como otros formatos de archivo web comunes. Los archivos SVG no son solo imágenes, son documentos con acceso completo a todas las características de HTML y JavaScript. Esta herramienta filtra los archivos SVG para eliminar el uso de cualquier característica potencialmente riesgosa.
Elimina el scripting. Evita que los archivos SVG se utilicen para ataques de cross-site scripting. Aunque los navegadores no permiten scripts en ``, sí permiten scripting cuando los archivos SVG se abren directamente como documento de nivel superior.
Elimina los hipervínculos a documentos en otros dominios. Hace que los archivos SVG sean menos atractivos para el spam SEO y el phishing.
Elimina las referencias a recursos de origen cruzado. Impide que terceros rastreen quién está viendo la imagen.
Esta herramienta elimina cualquier elemento y atributo que no esté en su lista de permitidos y filtra todas las URL para que sean solo del mismo origen (rutas sin nombre de host). Puede romper algunas imágenes SVG. ¡Por favor, reporta un bug cuando encuentres una imagen que se filtre con demasiada severidad!
Esta herramienta podría hacer que los archivos SVG sean más pequeños al eliminar contenido innecesario, pero no está pensada como un optimizador de SVG. Es seguro combinar svg-hush con herramientas de optimización de SVG.
Independientemente de este filtrado, es mejor servir imágenes SVG con una Content-Security-Policy restrictiva. Esta herramienta es una defensa en profundidad para casos en los que el encabezado CSP pueda no ser compatible, perderse o ser eludido (por ejemplo, debido a una mala configuración del servidor/CMS o a un ServiceWorker que no reenvía los encabezados).
DOCTYPEs que hagan referencia a archivos DTD externos. Se admite el subconjunto interno.