Websites herunterladen, die SVG Support nutzen

Über SVG Support

Die meisten Plugins fügen eine Fähigkeit hinzu. SVG Support hebt eine Beschränkung auf, und genau dieser Unterschied macht das Signal beobachtenswert.

WordPress lehnt SVG-Uploads standardmäßig ab, und zwar mit Absicht. Ein SVG ist ein XML-Dokument, das Skripte, externe Verweise und Event-Handler enthalten kann, und wer es als Bild behandelt, behandelt Markup wie eine Abbildung. SVG Support gibt es, damit eine Website Vektor-Uploads trotzdem annehmen kann, mit Bereinigung, einer Option, Uploads auf Administratoren zu beschränken, und Inline-Rendering, damit CSS und Skripte die Formen innerhalb einer Grafik ansprechen können. Das Plugin ist in PHP geschrieben, wird seit 2014 unter der Lizenz GPL v2 vertrieben und ist in der Medienverarbeitung einer Website angesiedelt, nicht in ihrem Theme.

Stand Oktober 2026 finden wir SVG Support auf 14.537 Websites, davon 4.764 auf Domains, die in den USA registriert sind. Bei den Endungen liegt .com vorn. Jede dieser Installationen steht für eine bewusste Entscheidung, die Upload-Möglichkeiten eines Content-Management-Systems zu erweitern. Die meisten dieser Entscheidungen haben Designer aus guten Gründen getroffen, denn ein Logo, das auf jedem Bildschirm scharf bleibt, lohnt sich. Sicherheitsteams betrachten dieselbe Tatsache von der anderen Seite, denn eine Website, die Vektor-Uploads annimmt, bietet einem Angriffsversuch per gespeichertem Cross-Site-Scripting ein Einfallstor, wann immer die Bereinigung oder die Benutzerrollen falsch konfiguriert sind.

Eine Domain-Abfrage verrät bei der Recherche, dass eine einzelne Website Vektor-Uploads zulässt. Die Liste macht aus demselben Signal einen Bestand, und erst als Bestand taugt es für die Fragen, die tatsächlich gestellt werden: wie sich Konfigurationen mit freizügigen Upload-Regeln bei bestimmten Hosting-Anbietern häufen, ob sie mit bestimmten Page-Buildern oder Theme-Familien zusammenhängen und wie sich die Zahl nach einer Sicherheitsmeldung zur SVG-Verarbeitung bewegt. Penetrationstester, die Aufträge abstecken, Anbieter von Managed-Security-Diensten für Content-Management-Systeme und Forscher, die messen, wie oft eine schützende Voreinstellung abgeschaltet wird, arbeiten alle mit genau solchen Daten.

Die Erkennung beruht hier stärker als sonst auf Schlussfolgerungen. Das Plugin verrät sich über seine eigenen Asset-Pfade und seine Inline-Verarbeitung, sodass eine Website, die es nur im Adminbereich lädt oder ihr Frontend bis zur Unkenntlichkeit minifiziert hat, nicht erfasst wird. Auch Versionsdaten fehlen. Die Liste zeigt daher, wer Vektor-Uploads zulässt, nicht, wer dafür eine veraltete Version des Plugins betreibt.