SVG安全 on 办公AI智能小助手 https://blog.qife122.com/tags/svg%E5%AE%89%E5%85%A8/ Recent content in SVG安全 on 办公AI智能小助手 Hugo zh-cn qife Sun, 11 Jan 2026 19:03:40 +0800 从SVG上传漏洞看存储型XSS攻击：一次chat.line.biz的真实案例解析 https://blog.qife122.com/p/%E4%BB%8Esvg%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E7%9C%8B%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%94%BB%E5%87%BB%E4%B8%80%E6%AC%A1chat.line.biz%E7%9A%84%E7%9C%9F%E5%AE%9E%E6%A1%88%E4%BE%8B%E8%A7%A3%E6%9E%90/ Sun, 11 Jan 2026 19:03:40 +0800 https://blog.qife122.com/p/%E4%BB%8Esvg%E4%B8%8A%E4%BC%A0%E6%BC%8F%E6%B4%9E%E7%9C%8B%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%94%BB%E5%87%BB%E4%B8%80%E6%AC%A1chat.line.biz%E7%9A%84%E7%9C%9F%E5%AE%9E%E6%A1%88%E4%BE%8B%E8%A7%A3%E6%9E%90/ <h1 id="ly-corporation--报告-3008878---通过svg上传在chatlinebiz中实现存储型xss--hackerone">LY Corporation | 报告 #3008878 - 通过SVG上传在chat.line.biz中实现存储型XSS | HackerOne</h1> <p>该Web应用程序允许用户通过chat.line.biz上传SVG文件，但未能正确过滤或禁用嵌入在SVG内容中的脚本。因此，攻击者可以上传包含JavaScript的恶意SVG文件，当其他用户稍后在管理界面中打开此文件时，嵌入的脚本将在浏览器中执行，从而导致存储型跨站脚本（Stored XSS）漏洞。</p> Nextcloud 存储型XSS漏洞：SVG文件上传风险分析 https://blog.qife122.com/p/nextcloud-%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%BC%8F%E6%B4%9Esvg%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E9%A3%8E%E9%99%A9%E5%88%86%E6%9E%90/ Sat, 03 Jan 2026 18:30:57 +0800 https://blog.qife122.com/p/nextcloud-%E5%AD%98%E5%82%A8%E5%9E%8Bxss%E6%BC%8F%E6%B4%9Esvg%E6%96%87%E4%BB%B6%E4%B8%8A%E4%BC%A0%E9%A3%8E%E9%99%A9%E5%88%86%E6%9E%90/ <h1 id="nextcloud-存储型xss漏洞svg文件上传风险分析">Nextcloud 存储型XSS漏洞：SVG文件上传风险分析</h1> <h2 id="漏洞概述">漏洞概述</h2> <p><strong>漏洞标题</strong>：通过SVG文件导致的存储型XSS漏洞</p> <p><strong>漏洞平台</strong>：Nextcloud</p> <p><strong>报告ID</strong>：#3357808</p> <p><strong>报告状态</strong>：已解决</p> 防范SVG中的XSS攻击：安全上传与展示指南 https://blog.qife122.com/p/%E9%98%B2%E8%8C%83svg%E4%B8%AD%E7%9A%84xss%E6%94%BB%E5%87%BB%E5%AE%89%E5%85%A8%E4%B8%8A%E4%BC%A0%E4%B8%8E%E5%B1%95%E7%A4%BA%E6%8C%87%E5%8D%97/ Fri, 19 Sep 2025 04:09:14 +0800 https://blog.qife122.com/p/%E9%98%B2%E8%8C%83svg%E4%B8%AD%E7%9A%84xss%E6%94%BB%E5%87%BB%E5%AE%89%E5%85%A8%E4%B8%8A%E4%BC%A0%E4%B8%8E%E5%B1%95%E7%A4%BA%E6%8C%87%E5%8D%97/ <h1 id="防范svg中的xss攻击">防范SVG中的XSS攻击</h1> <p>2018年8月16日 星期四</p> <p>这项研究始于我为一位客户进行测试时，其需求是允许SVG文件上传并在网站上显示。大多数人认为SVG文件与PNG或GIF类似是图像文件，但实际上它们是描述图像的XML文件。安全人员关注的是，SVG可以包含JavaScript，并在图像渲染时执行。w3schools.com对此有很好的介绍。</p>