آیا یک خطر امنیتی است؟

درک تزریق اسکریپت SVG

گرافیک‌های برداری مقیاس‌پذیر یا فایل‌های SVG منحصر به فرد هستند زیرا فرمت‌های تصویری مبتنی بر XML هستند. برخلاف تصاویر رستر سنتی مانند JPEG یا PNG، یک SVG اساساً یک فایل متنی است که اشکال، مسیرها و رنگ‌ها را با استفاده از کد توصیف می‌کند. از آنجا که مبتنی بر XML است، می‌تواند شامل عناصر تعاملی، از جمله جاوا اسکریپت نیز باشد. رشته‌ی خاص <svg onload=alert(document.domain)> یک نمونه‌ی کلاسیک از حمله‌ی اسکریپت‌نویسی میان‌سایتی (XSS) است. این به مرورگر می‌گوید که به محض اتمام بارگذاری گرافیک، یک قطعه کد جاوا اسکریپت - در این مورد، یک کادر هشدار ساده که دامنه وب‌سایت را نشان می‌دهد - را اجرا کند.

در سال ۲۰۲۶، این موضوع همچنان یک نگرانی مهم برای توسعه‌دهندگان وب و متخصصان امنیت است. وقتی کاربری یک فایل SVG را در پلتفرمی آپلود می‌کند که کد را به درستی بررسی نمی‌کند، آن اسکریپت به بخشی از مدل شیء سند (DOM) صفحه تبدیل می‌شود. اگر کاربر دیگری آن تصویر را مشاهده کند، اسکریپت به طور خودکار در جلسه مرورگر او اجرا می‌شود. اگرچه یک کادر هشدار بی‌ضرر است، اما یک مهاجم واقعی آن کد را با چیزی جایگزین می‌کند که برای دزدیدن کوکی‌های جلسه، هدایت کاربران به سایت‌های فیشینگ یا انجام اقدامات غیرمجاز از طرف کاربر وارد شده طراحی شده است.

نحوه عملکرد آسیب‌پذیری‌های SVG

نقش XML

از آنجا که SVG ها به عنوان XML تجزیه می‌شوند، مرورگرها با انعطاف‌پذیری بالایی با آنها رفتار می‌کنند. آنها طوری طراحی شده‌اند که تعاملی و پویا باشند. این یعنی ویژگی‌هایی مانند onload ، onerror و onclick در طرحواره SVG معتبر هستند. وقتی یک مرورگر با این ویژگی‌ها مواجه می‌شود، دستورالعمل‌های استاندارد خود را برای اجرای اسکریپت مرتبط دنبال می‌کند. این «ویژگی» فرمت SVG دقیقاً همان چیزی است که آن را به «بوم نقاشی هکرها» تبدیل می‌کند، زیرا به کد مخرب اجازه می‌دهد تا درون چیزی که شبیه یک فایل تصویری استاندارد به نظر می‌رسد، پنهان شود.

محیط‌های اجرایی

خطر یک فایل مخرب SVG به شدت به نحوه رندر شدن فایل بستگی دارد. اگر یک SVG از طریق تگ <img> بارگذاری شود، اکثر مرورگرهای مدرن به دلایل امنیتی اسکریپت‌ها را غیرفعال می‌کنند. با این حال، اگر SVG مستقیماً در یک تب مرورگر باز شود، از طریق یک <iframe> جاسازی شود، یا مستقیماً در HTML یک صفحه قرار گیرد، اسکریپت‌ها اجرا خواهند شد. این تمایز اغلب توسط توسعه‌دهندگانی که فرض می‌کنند همه آپلودهای «تصویر» ذاتاً ایمن هستند، نادیده گرفته می‌شود.

خطرات و حملات رایج

حملات XSS ذخیره شده

اسکریپت‌نویسی بین‌سایتی ذخیره‌شده یکی از رایج‌ترین خطرات مرتبط با آپلود فایل‌های SVG است. در این سناریو، مهاجم یک SVG مخرب را در یک جایگاه تصویر پروفایل، یک سرویس اشتراک‌گذاری اسناد یا یک سیستم مدیریت محتوا (CMS) آپلود می‌کند. سرور فایل را بدون بررسی تگ‌های اسکریپت ذخیره می‌کند. هر بار که یک کاربر قانونی یا یک مدیر آن فایل را مشاهده می‌کند، اسکریپت مخرب اجرا می‌شود. گزارش‌های امنیتی اخیر در سال ۲۰۲۶، آسیب‌پذیری‌هایی را در پلتفرم‌های مختلف برجسته کرده‌اند که در آن‌ها اعتبارسنجی backend فقط بررسی می‌کرد که آیا فایل XML معتبر است یا خیر، و کنترل‌کننده‌های رویداد فعال را حذف نمی‌کرد.

فیشینگ و تغییر مسیر

فراتر از اجرای ساده اسکریپت، SVGها به طور فزاینده‌ای در کمپین‌های فیشینگ پیچیده مورد استفاده قرار می‌گیرند. یک SVG می‌تواند طوری ساخته شود که شبیه یک دکمه ورود قانونی یا یک لینک «برای مشاهده سند اینجا کلیک کنید» به نظر برسد. وقتی کاربر با تصویر تعامل می‌کند، جاوا اسکریپت جاسازی‌شده می‌تواند بلافاصله کاربر را به یک سایت جمع‌آوری اطلاعات هدایت کند. از آنجا که پسوند فایل .svg است، اغلب از فیلترهای ایمیل سنتی که برای جستجوی پیوست‌های خطرناک .html یا .exe آموزش دیده‌اند، عبور می‌کند. مدیریت بومی SVGها توسط مرورگرهایی مانند کروم و سافاری به این معنی است که این اسکریپت‌ها بدون هیچ هشدار امنیتی به کاربر اجرا می‌شوند.

بهترین شیوه‌های امنیتی

پاکسازی ورودی

موثرترین راه برای جلوگیری از حملات مبتنی بر SVG، از طریق پاکسازی دقیق است. توسعه‌دهندگان باید از کتابخانه‌هایی که به‌طور خاص برای تجزیه و پاکسازی فایل‌های SVG طراحی شده‌اند، استفاده کنند و تمام تگ‌های <script> و ویژگی‌های مدیریت رویداد مانند onload را حذف کنند. بررسی پسوند فایل کافی نیست؛ محتوای واقعی فایل باید بررسی شود. اگر یک پلتفرم به کاربران اجازه آپلود فایل‌ها را بدهد، اجرای یک سیاست امنیتی محتوا (CSP) سختگیرانه می‌تواند با محدود کردن محل بارگذاری اسکریپت‌ها و جلوگیری از اجرای اسکریپت‌های درون‌خطی، مفید باشد.

روش‌های رندرینگ ایمن

هر زمان که امکان داشت، SVG های آپلود شده توسط کاربر را با استفاده از تگ <img> نمایش دهید. این امن‌ترین روش است زیرا مرورگرها به طور خودکار SVG را به عنوان یک تصویر ثابت در نظر می‌گیرند و هرگونه اجرای اسکریپت داخلی را مسدود می‌کنند . اگر برنامه شما نیاز دارد که SVG تعاملی یا درون‌خطی باشد، باید مطمئن شوید که کد از یک فیلتر «لیست سفید» عبور داده شده است که فقط تگ‌ها و ویژگی‌های ایمن را مجاز می‌داند. برای کسانی که در مدیریت یا تجارت دارایی‌های دیجیتال فعالیت دارند، استفاده از پلتفرم‌های امنی مانند WEEX تضمین می‌کند که زیرساخت‌های زیربنایی از استانداردهای امنیتی مدرن برای محافظت از داده‌ها و جلسات کاربر پیروی می‌کنند.

روندهای آسیب‌پذیری در سال ۲۰۲۶

نوع آسیب‌پذیری	مکانیسم	تأثیر بالقوه
XSS ذخیره شده	SVG مخرب در یک سرور آپلود شده و توسط دیگران مشاهده شده است.	ربودن نشست، تصاحب حساب، سرقت داده‌ها.
تغییر مسیر فیشینگ	اسکریپت درون SVG باعث تغییر window.location می‌شود.	کاربران به صفحات ورود جعلی یا سایت‌های بدافزار هدایت می‌شوند.
قاچاق HTML	SVG شامل فایل‌های رمزگذاری شده‌ای است که در سمت کلاینت مونتاژ می‌شوند.	دور زدن فایروال‌های شبکه برای ارائه بدافزار.
تزریق XXE	سوءاستفاده از ارجاعات موجودیت خارجی XML در SVG.	افشای داخلی فایل یا جعل درخواست سمت سرور (SSRF).

محافظت از تجربه کاربری

مسئولیت توسعه‌دهنده

با پیچیده‌تر شدن برنامه‌های وب، مسئولیت برخورد با تمام داده‌های ارائه شده توسط کاربر به عنوان داده‌های غیرقابل اعتماد بر عهده توسعه‌دهندگان است. این شامل تصاویر نیز می‌شود. ظهور ابزارهای «AutoSmuggle» و سایر برنامه‌های جاسازی خودکار اسکریپت، تولید فایل‌های SVG خطرناک را برای مهاجمان کم‌مهارت آسان‌تر کرده است. با اتخاذ رویکرد «امنیت بر اساس طراحی»، توسعه‌دهندگان می‌توانند این خطرات را قبل از رسیدن به کاربر نهایی کاهش دهند. این شامل به‌روزرسانی‌های منظم وابستگی‌ها، ممیزی‌های امنیتی و استفاده از چارچوب‌های مدرنی است که دارای محافظت‌های داخلی در برابر نقص‌های تزریق رایج هستند.

آگاهی کاربر

از دیدگاه کاربر، هنگام دانلود یا باز کردن فایل‌های پیوست غیرمنتظره، حتی اگر تصاویر ساده‌ای به نظر برسند، احتیاط لازم است. در سال ۲۰۲۶، فیشینگ از لینک‌های ساده فراتر رفته و شامل تله‌های «پیکسلی» پنهان در گرافیک‌های برداری شده است. کاربران باید اطمینان حاصل کنند که مرورگرهایشان به‌روز نگه داشته می‌شوند، زیرا فروشندگان مرورگر مرتباً وصله‌هایی را برای رسیدگی به روش‌های جدید دور زدن اسکریپت و اجرای آن در استاندارد SVG منتشر می‌کنند. درک این موضوع که یک تصویر می‌تواند «فعال» باشد، اولین قدم در حفظ حضور دیجیتالی امن است.

آینده امنیت SVG

نبرد مداوم بین مهاجمان و مدافعان همچنان به تکامل استانداردهای وب شکل می‌دهد. بحث‌هایی در W3C و سایر نهادهای استاندارد در مورد سخت‌گیری بیشتر در نحوه‌ی مدیریت فایل‌های SVG توسط مرورگرها برای جلوگیری از رایج‌ترین بردارهای XSS وجود دارد. با این حال، از آنجا که تعامل SVGها یک ویژگی اصلی است که توسط طراحان و توسعه‌دهندگان قانونی استفاده می‌شود، ممنوعیت کامل اسکریپت‌ها بعید است. در عوض، تمرکز همچنان بر روی ایزوله‌سازی بهتر و هدرهای امنیتی پیش‌فرض قوی‌تر است. با نزدیک شدن به سال ۲۰۲۶، ادغام تشخیص تهدید مبتنی بر هوش مصنوعی به پلتفرم‌ها کمک می‌کند تا الگوهای مخرب درون کد SVG را به صورت بلادرنگ شناسایی کنند و یک لایه دفاعی اضافی در برابر حملات به سبک <svg onload=alert(document.domain)> فراهم کنند.