A vulnerabilidade permite a injeção remota de código por meio do envio de um arquivo SVG contendo a carga maliciosa. Isso pode ser feito incluindo código malicioso dentro de um atributo `onload` no arquivo SVG. Quando processado pelo convert-svg-core, que utiliza o Puppeteer/Chromium, o código malicioso pode ser executado.