CVE-2026-94545
Сгенерированный Satori SVG имеет некорректное экранирование
- Опубликовано
- 30 сент. 2026 г.
- Обновлено
- 30 сент. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 23 сент. 2026 г.
Первичный CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XНизкий · следующие 30 дней
- Процентиль
- 64,9 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Satori — это библиотека для преобразования HTML и CSS в SVG. Начиная с версии 0.0.27 и до версии 0.33.5, Satori не выполняет должного экранирования определённых значений перед их включением в генерируемый SVG-вывод. Это может позволить интерпретировать специально сформированные значения как разметку SVG. Последствия зависят от того, как используется сгенерированный SVG. Версия 0.33.5 содержит исправление. Полноценного обходного решения, кроме обновления, не существует. Приложения, которые не могут немедленно обновиться, не должны отображать контролируемый злоумышленником контент с помощью Satori.
Источники
Эксплойт proof-of-concept для CVE-2026-94545 — неаутентифицированное RCE в Next.js next/og через инъекцию SVG и ROP-цепочку против нативного растеризатора sharp.
Изолированная лаборатория Docker и недеструктивный сканер на Python, воспроизводящие CVE-2026-94545 — SVG-инъекцию в Next.js next/og ImageResponse, с уязвимым и пропатченным вариантами и доказательствами на уровне пикселей в PNG.
Образовательный репозиторий для исследования CVE-2026-94545, содержащий материалы proof-of-concept и лабораторные рекомендации для авторизованного анализа уязвимостей и изучения защиты.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.