Badania przeprowadzone przez zespół PortSwigger ujawniły poważne błędy w popularnych bibliotekach służących do oczyszczania plików SVG. Autor przetestował osiem narzędzi i zdołał ominąć aż sześć z nich, co pozwala na wykonanie złośliwego kodu JavaScript w przeglądarkach użytkowników.
Jednym z odkrytych mechanizmów jest wykorzystanie przestrzeni nazw XHTML wewnątrz elementu SVG, co zmusza przeglądarkę do renderowania treści jako HTML. Autor opisał również zaawansowaną technikę wykorzystującą arkusze stylów XSLT ładowane poprzez instrukcje przetwarzania, co pozwala na obejście zabezpieczeń nawet przy pozornie bezpiecznym ciele dokumentu XML.
Dodatkowo wskazano na specyficzne zachowanie przeglądarki Firefox, która pozwala na ładowanie zewnętrznych zasobów poprzez nagłówek Link, co umożliwia uruchomienie skryptu z adresu data URL. W przypadku Safari odkryto możliwość importowania plików GIF jako SVG za pomocą elementu , co otwiera drogę do ataków typu polyglot.
Z analizy wynika, że biblioteki takie jak DOMPurify oraz darylldoyle/svg-sanitizer skutecznie opierały się przedstawionym metodom ataku, co czyni je bezpieczniejszymi wyborami.
