کتابخانه svg-sanitizer در نسخه‌های 0.11.0 تا قبل از 1.1.0 دارای یک آسیب‌پذیری از نوع استثنای مدیریت‌نشده (Uncaught Exception) است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا با ارسال فایل‌های XML ساختاریافته اما فاقد ریشه اصلی SVG، باعث از کار افتادن (Crash) فراخوان‌کنندگان این کتابخانه شوند.
مهاجم می‌تواند اسنادی را ارسال کند که دارای ریشه غیر از SVG یا عناصر SVG تودرتو (Nested) باشند. این اقدام باعث می‌شود متد Sanitizer::sanitize() به جای بازگرداندن مقدار false، یک LogicException پرتاب کند. این اتفاق می‌تواند منجر به توقف ناگهانی Workerها یا دور زدن مکانیزم‌های رد فایل‌های آپلودی (Upload Rejection) شود.
به‌روزرسانی (اکتبر 27, 2026 — NIST)
به‌روزرسانی: مشخصات فنی جدیدی از آسیب‌پذیری در کتابخانه svg-sanitizer منتشر شده است که تحت شناسه CVE-2026-117540 ثبت شده است. این نقص امنیتی در متد Sanitizer::sanitize() قرار دارد و می‌تواند منجر به حملات از نوع محرومیت از سرویس (Denial of Service یا DoS) شود.
مهاجمان بدون نیاز به احراز هویت (Unauthenticated) می‌توانند با آپلود فایل‌های SVG حاوی تعداد زیادی تگ‌های PHP هم‌پوشان (Overlapping PHP tags)، فرآیند پاک‌سازی را مختل کنند. این کار باعث اجرای تکراری و محاسبات سنگین preg_replace با پیچیدگی زمانی درجه دوم (Quadratic complexity) می‌شود که در نهایت منجر به اشغال کامل منابع CPU و از کار افتادن سرویس می‌گردد.
