Esistono vulnerabilità XSS durante l'anteprima delle immagini prima di caricarle?

No, non c'è. Se qualcuno vuole attaccare il proprio computer con JS, la scheda della console di devtool è molto più semplice rispetto alla creazione di un brutto svg. XSS è solo un problema quando il codice malevolo è condiviso con altri utenti . Se l'utente non era consapevole del fatto che il file fosse malevolo, potrebbe presentare un problema, ma non è il tuo da affrontare.

Inoltre, il contesto di origine / protocollo in cui verrà visualizzata un'immagine di anteprima (data: o blob :) dovrebbe proteggere il tuo sito da un codice immagine errato comunque raggiungibile (sebbene alcuni zero-giorni o qualunque potrebbe essere possibile).

Sì, Self-XSS può essere possibile. L'utente dovrebbe creare lo svg / gif sfruttabile da solo o scaricare un file compromesso da qualche parte.

E se il nome file dell'immagine NON è ricodificato e privo di tag / proprietà EXIF, l'immagine creata nella directory tmp può essere utilizzata come collegamento per XSS riflessa, che viene attivata quando una vittima fa clic sul collegamento vulnerabile .

Per quanto riguarda se l'immagine in anteprima è autenticata per eseguire richieste di script, che dipende da come viene letta sulla pagina che viene visualizzata. Se viene caricato direttamente senza alcuna protezione CSP o ricodificato come ho menzionato sopra, allora sarebbe possibile eseguire richieste di script.