使用img標記加載不可信的SVG時的XSS

使用img標記加載不可信的SVG文件時，XSS的威脅是否存在？使用img標記加載不可信的SVG時的XSS

如：<img src="untrusted.svg"/>

我讀過，大多數瀏覽器禁用通過img標籤加載SVG文件的腳本。

所有的瀏覽器禁用腳本的img標籤據我所知，讓你找到一個沒有按我知道「T。 –

這用於在某些瀏覽器中工作，但不再是。但是有一個相關的問題。如果我作爲一個不知情的用戶，右鍵單擊並下載圖像，然後在本地打開它，它可能會在瀏覽器中打開，腳本將運行。考慮到它是一個圖像，這有點奇怪。我想，如果你右鍵點擊並選擇「查看圖像」，也可能導致腳本運行，因爲你直接打開它。

2011-10-28 13:29:56 Erlend

如果您在本地打開文件，您可以運行該腳本，但在該環境中無法真正做到這一點。一旦它在本地加載，JavaScript的相同原產地策略將阻止它訪問任何cookie或其他敏感信息。 – aecend

是的，當使用SVG時，XSS威脅確實存在，大多數瀏覽器都不允許腳本運行，但如果通過電子郵件發送，那麼它可能會運行。

一些鏈接的問題：

2014-08-06 11:16:22

回答