Liệu đây có phải là rủi ro an ninh?

Hiểu về việc chèn mã SVG

Đồ họa vector có thể mở rộng, hay còn gọi là tệp SVG, rất độc đáo vì chúng là định dạng hình ảnh dựa trên XML. Khác với các định dạng ảnh raster truyền thống như JPEG hoặc PNG, SVG về cơ bản là một tập tin văn bản mô tả hình dạng, đường dẫn và màu sắc bằng mã lập trình. Vì dựa trên XML, nó cũng có thể chứa các phần tử tương tác, bao gồm cả JavaScript. Chuỗi ký tự cụ thể <svg onload=alert(document.domain)> là một ví dụ điển hình về tải trọng tấn công Cross-Site Scripting (XSS). Lệnh này yêu cầu trình duyệt thực thi một đoạn mã JavaScript—trong trường hợp này, là một hộp thoại đơn giản hiển thị tên miền của trang web—ngay sau khi hình ảnh tải xong.

Vào năm 2026, đây vẫn là mối lo ngại đáng kể đối với các nhà phát triển web và các chuyên gia bảo mật. Khi người dùng tải tệp SVG lên một nền tảng không xử lý mã đúng cách, đoạn mã đó sẽ trở thành một phần của Mô hình Đối tượng Tài liệu (DOM) của trang. Nếu người dùng khác xem hình ảnh đó, đoạn mã sẽ tự động chạy trong phiên trình duyệt của họ. Mặc dù hộp thoại cảnh báo không gây hại, nhưng kẻ tấn công thực sự sẽ thay thế đoạn mã đó bằng thứ được thiết kế để đánh cắp cookie phiên, chuyển hướng người dùng đến các trang web lừa đảo hoặc thực hiện các hành động trái phép thay mặt người dùng đã đăng nhập.

Cách thức hoạt động của các lỗ hổng SVG

Vai trò của XML

Vì SVG được phân tích cú pháp như XML, các trình duyệt xử lý chúng với mức độ linh hoạt cao. Chúng được thiết kế để mang tính tương tác và năng động. Điều này có nghĩa là các thuộc tính như onload , onerror và onclick đều hợp lệ trong lược đồ SVG. Khi trình duyệt gặp các thuộc tính này, nó sẽ tuân theo các hướng dẫn tiêu chuẩn để thực thi đoạn mã liên kết. Đặc điểm này của định dạng SVG chính là điều biến nó thành "bảng vẽ của tin tặc", vì nó cho phép mã độc được giấu bên trong những gì trông giống như một tệp hình ảnh tiêu chuẩn.

Môi trường thực thi

Mức độ nguy hiểm của dữ liệu SVG phụ thuộc rất nhiều vào cách thức hiển thị tệp tin đó. Nếu một tệp SVG được tải thông qua thẻ <img> , hầu hết các trình duyệt hiện đại sẽ vô hiệu hóa các tập lệnh vì lý do bảo mật. Tuy nhiên, nếu SVG được mở trực tiếp trong một tab trình duyệt, được nhúng thông qua thẻ <iframe> hoặc được nhúng trực tiếp vào HTML của một trang, thì các tập lệnh sẽ được thực thi. Sự khác biệt này thường bị các nhà phát triển bỏ qua, họ cho rằng tất cả các hình ảnh tải lên đều an toàn.

Các rủi ro và cuộc tấn công thường gặp

Tấn công XSS lưu trữ

Tấn công Cross-Site Scripting lưu trữ (Stored Cross-Site Scripting) là một trong những rủi ro phổ biến nhất liên quan đến việc tải lên tệp SVG. Trong trường hợp này, kẻ tấn công tải lên một tập tin SVG độc hại vào vị trí ảnh đại diện, dịch vụ chia sẻ tài liệu hoặc hệ thống quản lý nội dung (CMS). Máy chủ lưu tập tin mà không kiểm tra thẻ script. Mỗi khi người dùng hợp pháp hoặc quản trị viên xem tệp đó, đoạn mã độc hại sẽ được thực thi. Các báo cáo bảo mật gần đây vào năm 2026 đã chỉ ra các lỗ hổng trong nhiều nền tảng khác nhau, nơi quá trình xác thực phía máy chủ chỉ kiểm tra xem tệp có phải là XML hợp lệ hay không, mà không loại bỏ được các trình xử lý sự kiện đang hoạt động.

Lừa đảo qua mạng và chuyển hướng trang web

Ngoài việc thực thi các đoạn mã đơn giản, SVG ngày càng được sử dụng nhiều hơn trong các chiến dịch lừa đảo trực tuyến tinh vi. Bạn có thể tạo một file SVG sao cho nó trông giống như một nút đăng nhập hợp lệ hoặc một liên kết "nhấn vào đây để xem tài liệu". Khi người dùng tương tác với hình ảnh, mã JavaScript được nhúng có thể kích hoạt chuyển hướng ngay lập tức đến một trang web thu thập thông tin đăng nhập. Vì phần mở rộng tệp là .svg, nó thường vượt qua các bộ lọc email truyền thống được lập trình để tìm kiếm các tệp đính kèm .html hoặc .exe nguy hiểm. Việc các trình duyệt như Chrome và Safari hỗ trợ SVG một cách tự nhiên có nghĩa là các đoạn mã này chạy mà không gây ra bất kỳ cảnh báo bảo mật nào cho người dùng.

Các biện pháp bảo mật tốt nhất

Xử lý dữ liệu đầu vào

Cách hiệu quả nhất để ngăn chặn các cuộc tấn công dựa trên SVG là thông qua việc làm sạch dữ liệu một cách nghiêm ngặt. Các nhà phát triển nên sử dụng các thư viện được thiết kế đặc biệt để phân tích và làm sạch các tệp SVG, loại bỏ tất cả các thẻ <script> và các thuộc tính xử lý sự kiện như onload . Việc chỉ kiểm tra phần mở rộng tệp tin là chưa đủ; cần phải kiểm tra cả nội dung thực tế của tệp tin. Nếu một nền tảng cho phép người dùng tải lên các nội dung , việc triển khai Chính sách Bảo mật Nội dung (CSP) nghiêm ngặt cũng có thể giúp hạn chế nguồn tải các tập lệnh và ngăn chặn việc thực thi các tập lệnh nội tuyến.

Phương pháp kết xuất an toàn

Khi có thể, hãy hiển thị các SVG do người dùng tải lên bằng thẻ <img> . Đây là phương pháp an toàn nhất vì trình duyệt tự động coi SVG là một hình ảnh tĩnh và chặn mọi hoạt động thực thi mã lệnh nội bộ. Nếu ứng dụng của bạn yêu cầu SVG phải tương tác hoặc được nhúng trực tiếp, bạn phải đảm bảo rằng mã đã được lọc qua "danh sách trắng" chỉ cho phép các thẻ và thuộc tính an toàn. Đối với những người tham gia quản lý hoặc giao dịch tài sản kỹ thuật số, việc sử dụng các nền tảng bảo mật như WEEX đảm bảo rằng cơ sở hạ tầng cơ bản tuân thủ các tiêu chuẩn bảo mật hiện đại để bảo vệ dữ liệu và phiên giao dịch của người dùng.

Xu hướng dễ bị tổn thương trong năm 2026

Loại lỗ hổng	Cơ chế	Tác động tiềm tàng
XSS lưu trữ	Tệp SVG độc hại đã được tải lên máy chủ và bị người khác xem.	Chiếm đoạt phiên đăng nhập, chiếm đoạt tài khoản, đánh cắp dữ liệu.
Chuyển hướng lừa đảo	Đoạn mã bên trong SVG kích hoạt sự thay đổi thuộc tính window.location .	Người dùng bị chuyển hướng đến các trang đăng nhập giả mạo hoặc các trang web chứa phần mềm độc hại.
Buôn lậu HTML	SVG chứa các dữ liệu được mã hóa, sẽ được lắp ráp ở phía máy khách.	Vượt qua tường lửa mạng để phát tán phần mềm độc hại.
Tiêm XXE	Khai thác các tham chiếu thực thể bên ngoài XML trong SVG.	Lộ thông tin nội bộ hoặc tấn công giả mạo yêu cầu phía máy chủ (SSRF).

Bảo vệ trải nghiệm người dùng

Trách nhiệm của nhà phát triển

Khi các ứng dụng web trở nên phức tạp hơn, trách nhiệm thuộc về các nhà phát triển trong việc coi tất cả dữ liệu do người dùng cung cấp là không đáng tin cậy. Điều này bao gồm cả hình ảnh. Sự xuất hiện của các công cụ "AutoSmuggle" và các chương trình nhúng mã tự động khác đã giúp những kẻ tấn công có kỹ năng thấp dễ dàng tạo ra các tệp SVG nguy hiểm. Bằng cách áp dụng phương pháp "bảo mật ngay từ khâu thiết kế", các nhà phát triển có thể giảm thiểu những rủi ro này trước khi chúng đến tay người dùng cuối. Điều này bao gồm việc cập nhật các thư viện phụ thuộc thường xuyên, kiểm tra bảo mật và sử dụng các framework hiện đại có tích hợp các biện pháp bảo vệ chống lại các lỗ hổng tấn công injection phổ biến.

Nhận thức của người dùng

Từ góc độ người dùng, cần thận trọng khi tải xuống hoặc mở các tệp đính kèm không mong muốn, ngay cả khi chúng trông giống như những hình ảnh đơn giản. Vào năm 2026, tấn công lừa đảo (phishing) đã phát triển vượt ra ngoài những liên kết đơn giản, bao gồm cả những cạm bẫy "hoàn hảo đến từng pixel" được giấu kín trong các hình ảnh đồ họa vector. Người dùng nên đảm bảo trình duyệt của mình luôn được cập nhật, vì các nhà cung cấp trình duyệt thường xuyên phát hành các bản vá để khắc phục các phương pháp mới nhằm vượt qua và thực thi mã lệnh trong tiêu chuẩn SVG. Hiểu được rằng hình ảnh có thể "hoạt động" là bước đầu tiên để duy trì sự hiện diện kỹ thuật số an toàn.

Tương lai của bảo mật SVG

Cuộc chiến không ngừng nghỉ giữa những kẻ tấn công và những người phòng thủ tiếp tục định hình sự phát triển của các tiêu chuẩn web. Hiện đang có các cuộc thảo luận trong W3C và các tổ chức tiêu chuẩn khác về việc siết chặt hơn nữa cách các trình duyệt xử lý các tệp SVG để ngăn chặn các phương thức tấn công XSS phổ biến nhất. Tuy nhiên, vì tính tương tác của SVG là một tính năng cốt lõi được các nhà thiết kế và nhà phát triển chuyên nghiệp sử dụng, nên việc cấm hoàn toàn các tập lệnh là điều khó xảy ra. Thay vào đó, trọng tâm vẫn là cải thiện khả năng cách ly và thiết lập các tiêu đề bảo mật mặc định mạnh mẽ hơn. Khi chúng ta tiến sâu hơn vào năm 2026, việc tích hợp tính năng phát hiện mối đe dọa dựa trên AI đang giúp các nền tảng xác định các mẫu độc hại trong mã SVG theo thời gian thực, cung cấp thêm một lớp phòng thủ chống lại các cuộc tấn công kiểu <svg onload=alert(document.domain)> .