CVE-2026-44311
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 — wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Fabric.js przed wersją 7.4.0 umożliwia atak XSS przez nieprawidłowe kodowanie danych wejściowych podczas serializacji SVG metodą toSVG(). Pole koloru w tablicy colorStops obiektu fabric.Gradient nie jest odpowiednio zabezpieczone, co pozwala na wstrzyknięcie dowolnego kodu HTML/SVG i wykonanie JavaScript w przeglądarce ofiary.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego skryptu, co prowadzi do kradzieży danych sesji, przejęcia konta lub innych działań w kontekście przeglądarki użytkownika.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę Fabric.js do wersji 7.4.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy unikać renderowania wygenerowanego SVG bezpośrednio w DOM bez dodatkowej sanityzacji.
Oryginalny opis (angielski, źródło NVD)
Fabric.js is a Javascript HTML5 canvas library. Prior to 7.4.0, a potential Cross-Site Scripting (XSS) vulnerability exists in Fabric.js due to improper escaping of user-controlled input during SVG serialization via the toSVG() method. Specifically, the color field within the colorStops array of a fabric.Gradient object is not properly escaped when converted into SVG <stop> elements. If an application renders the generated SVG string into the DOM, this may allow an attacker to inject arbitrary HTML/SVG and execute JavaScript in the victim's browser. This vulnerability is fixed in 7.4.0.