SVG画像のXSS防止は今後必須に

SVG画像というのは、WEBサイト内のアイコンで広く使われるようになりました。

文字のようにサイズ変更や色指定ができて便利です。

このSVGですが、実はエディターなどで開けるテキスト形式です。

そして、その中に悪意のあるスクリプトを仕込むことが可能です。

2018年頃からSVGファイルのセキュリティ対策記事は増えていますが、

対処されていないケースが多そうです。

Joomla!ではVer.3.9.21以降、.htaccessファイルに対策用の記述が施されています。

こんな感じですね。

<FilesMatch "\.svg$">
  <IfModule mod_headers.c>
    Header always set Content-Security-Policy "script-src 'none'"
  </IfModule>
</FilesMatch>

スクリプトのソースとしては実行されないように規制するものです。

同じような対処がされているか、サイトのシステム管理者に確認してみるのが良いですね。