کتابخانه svg-sanitizer در نسخه‌های پیش از 1.0.0 دارای آسیب‌پذیری‌های CSS Injection و Remote Reference Bypass است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا با بارگذاری فایل‌های SVG دست‌کاری شده، منابع خارجی را در صفحات وب جاسازی کنند.
مهاجمان می‌توانند از محتوای استایل (style) پاک‌سازی نشده، مقادیر بدون کوتیشن در url() یا ویژگی‌های image href برای اهداف زیر سوءاستفاده کنند:
- استخراج داده‌های حساس صفحه (Data Exfiltration)
- ردیابی فعالیت‌های کاربران (User Tracking)
- افشای آدرس‌های IP بازدیدکنندگان
