CVE-2022-25759

Versões do convert-svg-core anteriores à 0.6.2

A vulnerabilidade permite a injeção remota de código por meio do envio de um arquivo SVG contendo a carga maliciosa. Isso pode ser feito incluindo código malicioso dentro de um atributo onload no arquivo SVG. Quando processado pelo convert-svg-core, que utiliza o Puppeteer/Chromium, o código malicioso pode ser executado.

Para versões anteriores à 0.6.2, atualize para a versão 0.6.2 ou posterior para resolver o problema. Como solução temporária, considere desativar a execução de código dentro dos atributos onload em arquivos SVG até que um patch seja aplicado. Restrinja o acesso ao pacote convert-svg-core para minimizar o risco de exploração. Evite usar o atributo onload em arquivos SVG até que o problema seja resolvido.