¿Existen vulnerabilidades de XSS durante la vista previa de la imagen antes de cargarla?

No, no hay. Si alguien quiere atacar su propia máquina con JS, la pestaña de la consola de devtool es mucho más fácil que crear un svg incorrecto. XSS solo es un problema cuando el código malicioso se comparte con otros usuarios . Si el usuario no sabía que el archivo era malicioso, podría presentar un problema, pero no es suyo para tratar.

Además, el contexto de origen / protocolo en el que se mostraría una imagen de vista previa (datos: o blob :) debería proteger su sitio de un código de imagen errónea de cualquier manera (aunque algunos días cero o cualquier podrían sea posible).

Sí, Self-XSS puede ser posible. El usuario tendría que crear el svg / gif explotable por sí mismo o descargar uno comprometido de algún lugar.

Y si el nombre de archivo de la imagen NO se vuelve a codificar ni se le quitan las etiquetas / propiedades EXIF, la imagen creada en el directorio tmp se puede usar como enlace para Reflected XSS, que se activa cuando una víctima hace clic en el enlace vulnerable .

En cuanto a si la imagen vista previa está autenticada para ejecutar solicitudes de script, eso depende de cómo se lea en la página que se muestra. Si se carga directamente sin ninguna protección CSP o se recodifica como lo mencioné anteriormente, sería posible ejecutar solicitudes de script.