CVE-2026-73490
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Loofah to biblioteka do manipulacji dokumentami HTML/XML. Przed wersją 2.25.2 sanitizer HTML5 w Loofah stosuje ograniczenie lokalnych referencji tylko do atrybutu xlink:href w elementach SVG use i feImage, podczas gdy przeglądarki akceptują również zwykły atrybut href. Spreparowany zasanitizowany SVG może więc odwoływać się do dowolnego zewnętrznego dokumentu z tego samego pochodzenia; użycie może renderować zewnętrzne treści SVG zawierające skrypty lub inne niebezpieczne treści, a feImage może ładować zewnętrzne obrazy w celu śledzenia. Aplikacje, które sanityzują SVG dostarczane przez użytkowników za pomocą domyślnej listy dozwolonych Loofah, są dotknięte. Problem naprawiono w wersji 2.25.2.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia niebezpiecznych treści lub śledzenia użytkowników, co może prowadzić do naruszenia bezpieczeństwa aplikacji i prywatności użytkowników.
Rekomendacja
Zaktualizuj Loofah do wersji 2.25.2 lub nowszej. Przejrzyj sposób sanityzacji SVG i rozważ dodatkowe zabezpieczenia.
Oryginalny opis (angielski, źródło NVD)
Loofah is a general library for manipulating and transforming HTML/XML documents and fragments, built on top of Nokogiri. Prior to 2.25.2, Loofah's HTML5 sanitizer applies its local-reference restriction only to the xlink:href attribute on SVG use and feImage elements, while browsers also accept the plain href attribute. A crafted sanitized SVG can therefore reference an arbitrary same-origin external document; use may render external SVG content containing scripts or other dangerous content, and feImage may load external images for tracking. Applications that sanitize user-supplied SVG with Loofah's default allowlist are affected. This issue is fixed in version 2.25.2.