SVG XSS e XXE: attacco tramite upload di immagini

Mon, 21 Sep 2026 00:00:00 +0000

SVG XSS e XXE: Quando un’Immagine Vettoriale Diventa un Exploit #

SVG XSS è l’esecuzione di JavaScript nascosto dentro un file SVG caricato o embeddato in una pagina; SVG XXE è la lettura di file locali o SSRF ottenuta dichiarando entità XML esterne nello stesso file. Entrambi sfruttano lo stesso difetto strutturale: un file SVG non è un’immagine come JPEG o PNG, ma un documento XML testuale che può contenere script, gestori di evento e riferimenti a entità esterne che un parser esegue davvero. Se un’applicazione accetta upload SVG, li renderizza inline o li passa a una libreria di elaborazione immagini senza sanitizzazione, apre entrambe le superfici d’attacco.

Web Application Security on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

SVG XSS e XXE: attacco tramite upload di immagini

SVG XSS e XXE: Quando un’Immagine Vettoriale Diventa un Exploit #