CVE-2026-73490
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Loofah to biblioteka do manipulacji dokumentami HTML/XML. Przed wersją 2.25.2 sanitizer HTML5 w Loofah stosuje ograniczenie lokalnych referencji tylko do atrybutu xlink:href w elementach SVG use i feImage, podczas gdy przeglądarki akceptują również zwykły atrybut href. Spreparowany zasanitizowany SVG może więc odwoływać się do dowolnego zewnętrznego dokumentu z tego samego pochodzenia; użycie może renderować zewnętrzne treści SVG zawierające skrypty lub inne niebezpieczne treści, a feImage może ładować zewnętrzne obrazy w celu śledzenia. Aplikacje, które sanityzują SVG dostarczane przez użytkowników za pomocą domyślnej listy dozwolonych Loofah, są dotknięte. Problem naprawiono w wersji 2.25.2.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia niebezpiecznych treści lub śledzenia użytkowników, co może prowadzić do naruszenia bezpieczeństwa aplikacji i prywatności użytkowników.
Rekomendacja
Zaktualizuj Loofah do wersji 2.25.2 lub nowszej. Przejrzyj sposób sanityzacji SVG i rozważ dodatkowe zabezpieczenia.
Inne podatności w Loofah
Zobacz wszystkie- GHSA-5qhf-9phg-95m2Niskie
Metoda Loofah::HTML5::Scrub.allowed_uri? niepoprawnie odrzuca URI javascript: lub vbscript:, gdy schemat jest podzielony przez numeryczne odniesienie znakowe bez średnika. Przeglądarka dekoduje takie odniesienia i rozwiązuje URL do wykonywalnego schematu javascript:, podczas gdy allowed_uri? uznaje go za bezpieczny.
- GHSA-9wjq-cp2p-hrgfŚrednie
Sanityzer HTML5 biblioteki Loofah ograniczał tylko atrybut xlink:href na niektórych elementach SVG do lokalnych, wewnątrzdokumentowych odwołań. Przeglądarki akceptują również zwykły atrybut href jako alternatywę dla przestarzałego xlink:href zgodnie ze specyfikacją SVG 2, ale Loofah nie stosował tego samego ograniczenia do niego.
- GHSA-8whx-365g-h9vvNiskie
Metoda Loofah::HTML5::Scrub.allowed_uri? niepoprawnie odrzuca URI javascript:, gdy schemat jest podzielony lub poprzedzony nazwanymi odniesieniami znakowymi HTML5 	 (tabulacja) lub 
 (znak nowej linii). Jest to obejście poprawki dla GHSA-46fp-8f5p-pf2m, która dotyczyła równoważnych numerycznych odniesień znakowych.
- CVE-2026-73492Niskie
Loofah w wersjach od 2.25.0 do 2.25.2 nie odrzuca URI javascript: lub vbscript:, których schemat jest podzielony przez odwołania numeryczne znaków bez średnika, takie jak :, 	, 
 lub 
. Funkcja CGI.unescapeHTML pozostawia te odwołania zakodowane, więc allowed_uri? uznaje URL za bezpieczny, mimo że przeglądarka dekoduje dwukropek lub usuwa białe znaki i wykonuje wynikowy schemat URI. Problem dotyczy tylko wywołań z bezpośrednio przekazanymi zakodowanymi stringami do allowed_uri?; domyślna ścieżka sanitize() nie jest dotknięta. Problem naprawiono w wersji 2.25.2.
- CVE-2026-73491Niskie
Loofah w wersjach od 2.25.0 do 2.25.2 nie odrzuca URI javascript:, których schemat jest podzielony lub poprzedzony nazwanymi odwołaniami do białych znaków HTML5, takimi jak 	 lub 
. Funkcja CGI.unescapeHTML pozostawia te odwołania nienaruszone, więc allowed_uri? uznaje URL za bezpieczny, mimo że przeglądarka dekoduje i usuwa tabulator lub znak nowej linii, a następnie wykonuje wynikowy URL javascript:. Problem dotyczy tylko wywołań z bezpośrednio przekazanymi zakodowanymi stringami do allowed_uri?; domyślna ścieżka sanitize() nie jest dotknięta. Problem naprawiono w wersji 2.25.2.
Oryginalny opis (angielski, źródło NVD)
Loofah is a general library for manipulating and transforming HTML/XML documents and fragments, built on top of Nokogiri. Prior to 2.25.2, Loofah's HTML5 sanitizer applies its local-reference restriction only to the xlink:href attribute on SVG use and feImage elements, while browsers also accept the plain href attribute. A crafted sanitized SVG can therefore reference an arbitrary same-origin external document; use may render external SVG content containing scripts or other dangerous content, and feImage may load external images for tracking. Applications that sanitize user-supplied SVG with Loofah's default allowlist are affected. This issue is fixed in version 2.25.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS