Уязвимость XXE в Inkscape (CVE-2026-4980): чтение локальных файлов через SVG
В Inkscape 1.1 – 1.3 обнаружена уязвимость неправильной обработки внешних XML-сущностей (XXE) в компоненте XInclude. Специально сформированный SVG-файл позволяет злоумышленнику прочитать локальные файлы жертвы. Уровень опасности — средний (CVSS 6.3).
Подробности
Уязвимость затрагивает версии Inkscape 1.1 и выше, но до 1.3 включительно. При открытии специально подготовленного SVG-файла, содержащего вредоносные тегиxi:include, компонент обработки XInclude не ограничивает обращения к внешним ресурсам должным образом. В результате удалённый атакующий, передавший жертве такой файл, может инициировать чтение локальных файлов на её системе и, в зависимости от контекста эксплуатации, получить доступ к конфиденциальным данным.
Согласно оценке CVSS, базовый балл уязвимости составляет 6.3, что соответствует среднему уровню опасности. Для эксплуатации требуется взаимодействие с пользователем: жертва должна открыть crafted-файл в уязвимой версии редактора. Именно поэтому вектор атаки часто реализуется через фишинговые вложения или распространение «безобидных» графических файлов.
Что делать
Основная рекомендация — обновить Inkscape до версии 1.3 или более поздней, где обработка XInclude приведена в соответствие с требованиями безопасности. Если обновление невозможно в кратчайшие сроки, стоит придерживаться следующих мер предосторожности:- Не открывайте SVG-файлы из недоверенных источников, особенно полученные по электронной почте или из мессенджеров.
- Проверяйте происхождение графических файлов перед открытием в редакторе.
- Ограничьте права учётной записи, под которой работает Inkscape, чтобы снизить потенциальный ущерб от чтения файлов.
- Рассмотрите возможность изоляции работы с подозрительными документами (например, в песочнице или на отдельной машине).
Источник: CVE Project (cvelistV5)