Um pesquisador de segurança demonstrou uma cadeia de ataques contra o serviço de Transformação de Imagens da Cloudflare que contorna a sanitização de SVG e a Política de Segurança de Conteúdo (CSP), permitindo a execução de JavaScript malicioso em um site de destino. A pesquisa, publicada em 28 de outubro de 2026, combina uma falha de serialização XML, comportamento de cache do Chromium e redirecionamentos que contornam as restrições de origem de imagem.
A falha de serialização XML no serviço de Transformação de Imagens da Cloudflare permitiu a manipulação de imagens SVG.
O comportamento do cache do Chromium foi explorado para armazenar conteúdo malicioso.
Redirecionamentos foram usados para contornar as restrições de origem de imagem.
Recomendações
Atualizar o serviço de Transformação de Imagens da Cloudflare para corrigir a falha de serialização XML.
Implementar regras de segurança adicionais para monitorar e bloquear conteúdo malicioso.
Utilizar ferramentas de segurança para detectar e prevenir ataques de execução de JavaScript malicioso.
