Как безопасно загрузить SVG на сайт?

Question

[Марти Макфлай]

Необходимо добавить на сайт возможность пользователям загружать SVG изображения. Есть ли какой-то способ безопасно загружать SVG, чтобы в него не могли встроить вредоносный код?

Answer 1

[Сергей Соколов]

«Большие дяди» размещают загруженные пользователями SVG'шки на отдельном (под)домене.

Например, wikipedia держит их на upload.wikimedia.org

Какой бы скрипт там ни был зашит в загружаемые SVG, его выполнение ничего не даст злодею, т.к. Same Origin Policy браузеров держит его в отдельной песочнице и не даёт доступа к содержанию и кукам основного сайта.

Comments

[Максим Тимофеев]

Хороший вариант, а скрипт загрузки тоже на поддомене?

[Сергей Соколов]

Максим Тимофеев, принимать файл вы можете и на основном домене. Приняли – сохранили. Главное, ни в коем случае не показывать его нигде, кроме песочничного. Т.е. даже сразу после загрузки, показывать загруженный файл только с поддомена.

[Максим Тимофеев]

Сергей Соколов, Но ведь в коде svg могут проблемы, а мы его в базу пихаем? Или сохранять как файлы? Наверное понял, коммент оставлю, что бы автор тоже задумался.

[Марти Макфлай]

К сожалению с поддоменом вариант в моём случае не подходит, но за ответ большое спасибо!

[Владимир Дубровин]

На поддомен грузить нельзя, т.к. SVG, как минимум, может манипулировать куками родительского домена через META. Следует использовать выделенный домен.

Answer 2

[Mercury13]

К сожалению, в этом плане мы отданы на милость производителю браузера — как, впрочем, и в PNG, и в JPG. С одной стороны, они стараются избавиться от ошибок — например, как-то были скрипты в SVG (вроде в классической Опере). Исправили.
С другой — векторная графика на порядок сложнее точечной, и всё не предусмотришь.

Я бы поделил это на три части.
1. Типичные для XML риски.
• Entity-бомбы.
• Проблемы с DTD, особенно отсылки на локальные файлы и файлы-устройства.
• Сильно вложенные тэги, призванные пробить врагу стек. С этим надо быть предельно осторожным, чтобы не пробить стек себе :)

2. Известные эксплойты, связанные с SVG.
• Скрипты (и кто их вообще исполняет сейчас в SVG — но интернет говорит, что немало таких зловредов).
UPD. Исполняют, но при определённых условиях, и тэг IMG или фон через CSS теоретически безопасны.

3. SVG, которые не могут работать.
• Ссылка на внешний растровый файл.

Answer 3

[4iloveg]

Попробуй парсить загружаемый svg на наличие нестандартного для svg кода. И при нахождении оного останавливать работу по загрузке на сайт.