Browser Security Handbook. Глава 1, пункт 11

- Простые форматы данных.Они включают в себя простые текстовые данные или изображения (JPEG, GIF, BMP и т.д.),  для которой браузер выделяет основную визуализацию холста (область рисунка)и заполняет её статическими данными. В принципе последствия для безопасности не возникают с этими типами данных, поскольку никакие вредоносные полезные нагрузки не могут быть встроены в сообщение (за исключением крупных и довольно редких ошибок реализации). Помимо распространенных графических форматов, некоторые браузеры могут также поддерживать другие нетипичные или устаревшие медиа-форматы, например, воспроизведение MIDI -файлов, указанных в теге <BGSOUND>.

- Обогащенные форматы данных.К данной категории в основном относятся XML-форматы ( SVG , RSS , Atom ); помимо исходных данных , эти форматы документов содержат различные инструкции визуализатора, подсказки или условные выражения.

Из-за принципа работы XML, каждый основанный на нем формат имеет два важных последствия для безопасности:

- Во-первых, вложенные пространства имен XML могут быть определены, и, как правило, не сверяться с MIME-типом, позволяя встраивать их в HTML, например, в image/svg+xml.

- Во-вторых, эти форматы могут, фактически, поступать с условиями для нестандартного внедрения в HTML или полезными нагрузками Javascript или встроенным сценарием, допуская HTML-инъекцию, даже если у атакующего нет прямого управления структурой документов XML.

Один из примеров документа, с MIME-типом image/svg+xml, который будет по-прежнему выполнять сценарии для большинства современных браузеров, выглядит следующим образом:

<?xml version="1.0"?>
<container>
  <svgxmlns="http://www.w3.org/2000/svg">
    [...]
  </svg>
  <htmlxmlns="http://www.w3.org/1999/xhtml">
    <script>alert('Hello world!')</script>
  </html>
</container>

Кроме того, SVG изначально допускает встроенные сценарии и обработчики событий; во всех браузерах, поддерживающих SVG, эти сценарии выполняются призагрузке изображенияв качестведокумента верхнего уровня, иигнорируются, когда представлены через тег <IMG>.

Работа некоторых встроенных типов документов,  не являющихся HTML, описаны в таблице № 12:

 Таблица №12