sharp: librsvgの依存関係における脆弱性 CVE-2026-96889
### 影響
アップストリームのlibrsvg依存関係において、メモリに関連する脆弱性が発見され、修正されました。特定の実行時条件が満たされると、この脆弱性がglibcベースのLinuxシステムにおいて、リモートコード実行（RCE）につながる可能性があります。
### 修正
#### sharpが提供するプリビルドバイナリを使用している場合？
多くのユーザーは、sharpが提供するプリビルドバイナリを使用しています。
sharpを最新バージョン、現在0.35.5にアップデートしてください。このバージョンでは、librsvg 2.63.2が提供されています。
#### グローバルにインストールされたlibrsvgを使用している場合？
最新バージョンのlibrsvg 2.63.2を使用していることを確認してください。
### 対策
sharpがSVG画像をデコードしないように、以下のコードをあなたのコードに追加してください。
```js
sharp.block({ operation: ["VipsForeignLoadSvg"] });
```
RCEを回避するために、Position Independent Executable (PIE)としてコンパイルされた`node`実行可能ファイルを使用していることを確認してください。ほとんどのLinuxパッケージマネージャーでは、すでにこのセキュリティ強化機能が使用されていますが、注意点として、「公式」のNode.jsバイナリにはこの機能が含まれていない場合があります。
1
影響を受けるパッケージ：
- npm (JavaScript) sharp: 0.35.5より前のバージョンが影響を受けます。0.35.5で修正されました。