Vulnerabilidad en Fabric.js (CVE-2026-27013)

Fabric.js es una biblioteca de lienzo HTML5 de Javascript. Antes de la versión 7.2.0, Fabric.js aplica `escapeXml()` al contenido de texto durante la exportación SVG (`src/shapes/Text/TextSVGExportMixin.ts:186`) pero no lo aplica a otros valores de la cadena controlados por el usuario, que se interpolan en el marcado de atributos SVG. Cuando se carga un JSON controlado por el atacante a través de `loadFromJSON()` y luego se exporta a través de `toSVG()`, los valores sin escapar se salen de los atributos XML e inyectan elementos SVG arbitrarios, incluidos los controladores de eventos. Cualquier aplicación que acepte JSON proporcionados por el usuario (a través de `loadFromJSON()`, uso compartido colaborativo, funciones de importación, complementos de CMS) y renderice la salida de `toSVG()` en un contexto de navegador (vista previa SVG, descarga de exportación renderizada en la página, plantilla de correo electrónico, incrustación) es vulnerable a XSS almacenado. Un atacante puede ejecutar JavaScript arbitrario en la sesión del navegador de la víctima. La versión 7.2.0 contiene una solución.