Apakah unggahan SVG berisiko XSS?

Halaman referensi

Jawaban singkat

SVG yang diunggah adalah dokumen, bukan sekadar piksel: format ini dapat berisi elemen aktif seperti skrip dan event handler. Eksekusinya bergantung pada konteks browser. SVG melalui <img> berada dalam konteks gambar terbatas; SVG inline, navigasi langsung, atau penyematan sebagai dokumen dapat bersifat aktif.

Perbedaan SVG dari format gambar lain

Tidak seperti PNG atau JPEG, SVG adalah XML yang dapat membawa konten aktif. Browser menonaktifkan skrip dalam konteks gambar terbatas seperti <img>, tetapi tidak saat SVG dibuka langsung, disematkan sebagai dokumen melalui <object>, <iframe>, atau <embed>, maupun dimasukkan secara inline. Gambar profil unggahan dapat menjadi stored XSS jika aplikasi menyajikannya sebagai dokumen aktif pada origin aplikasi. Perilaku bergantung pada konteks; ekstensi dan MIME bukan sanitasi.

Mengamankan unggahan

✓Gunakan sanitizer SVG terawat dengan allowlist eksplisit sebelum menyimpan atau menampilkan. Hapus elemen yang dapat dieksekusi, event handler, referensi eksternal, dan foreignObject jika tidak diperlukan; jangan sanitasi XML dengan regex.
✓Jika pengguna hanya membutuhkan gambar, rasterisasi SVG dalam proses terisolasi dengan batas sumber daya lalu sajikan hasil raster. Simpan file asli di luar web root bila tidak diperlukan.
✓Sajikan unggahan dari domain registrable terpisah yang tidak menerima cookie aplikasi. Subdomain saudara masih dapat menerima cookie domain induk.
✓Jika SVG tak tepercaya harus dipertahankan sebagai dokumen, paksa unduhan dengan Content-Disposition: attachment dan X-Content-Type-Options: nosniff, atau tampilkan hanya dalam konteks gambar terbatas seperti <img>. Hindari inline, <object>, <iframe>, dan penyajian dokumen pada origin yang sama.

Pertanyaan umum

Apakah validasi ekstensi atau MIME cukup?

['Apakah validasi ekstensi atau MIME cukup?', 'Tidak. Ekstensi dan MIME yang dinyatakan hanyalah metadata, bukan pemeriksaan konten aktif. Verifikasi format sebenarnya, lalu gunakan allowlist sanitizer khusus SVG atau konversi ke raster bila fitur SVG tidak dibutuhkan.']

Referensi

Lihat juga Cross-Site Scripting (XSS, CWE-79): cara kerja dan cara mencegahnya di setiap bahasa — flawopen.com Risiko XSS pada Vue v-html WKWebView: HTML tak tepercaya aman? Apa beda XSS reflected, stored, dan DOM-based? Risiko keamanan addJavascriptInterface di Android Perlindungan XSS Angular: default aman dan API bypass XSS akibat MIME sniffing: Content-Type dan nosniff