З яких міркувань безпеки svgs заблоковані у завантажувачі медіа?

Я бачу, що SVG-файли заблоковані за замовчуванням у завантажувачі мультимедіа, і ви повинні додати його як підтримуваний MIME-тип у function.php. Які причини безпеки стоять за цим?

media security svg

— Клавді Креанга
джерело

SVG може містити JavaScript . JavaScript можна використовувати для викрадення файлів cookie чи інших сумнівних дій . Його можна навіть "заховати" в просторах імен:

<html xmlns:ø="http://www.w3.org/1999/xhtml">
   <ø:script src="//0x.lv/" />
</html>

джерело

Це дуже важко відфільтрувати під час завантаження, тому його за замовчуванням просто не дозволено.

— фуксія
джерело

Я подумав, що сенсом простору імен є уникнення зіткнення імен тегів, це означає, що ø:scriptне слід обробляти, оскільки, scriptтаким чином, нічого не потрібно робити. Що спричиняє ø:scriptтег простору імен, який трактується як scriptтег без простору імен ? Або SVG також дозволяють вбудовувати не-JS XML-парсери?

— JAB

@JAB простір імен http://www.w3.org/1999/xhtmlробить цей екземпляр сценарію еквівалентом звичайного сценарію.

— fuxia

О, тепер я розумію. Неявна область імен для тегів HTML є http://www.w3.org/1999/xhtml, тому ви можете створити посилання на цю URL-адресу і використовувати її як префікс простору імен для таких тегів, і XHTML-аналізатори будуть обробляти їх як звичайні теги.

— JAB