GHSA-5qhf-9phg-95m2

Niskie

Opublikowano: —Przetłumaczono: 27/07/2026(UTC)NVD NIST

Streszczenie

Metoda Loofah::HTML5::Scrub.allowed_uri? niepoprawnie odrzuca URI javascript: lub vbscript:, gdy schemat jest podzielony przez numeryczne odniesienie znakowe bez średnika. Przeglądarka dekoduje takie odniesienia i rozwiązuje URL do wykonywalnego schematu javascript:, podczas gdy allowed_uri? uznaje go za bezpieczny.

Ocena ryzyka

Atakujący może ominąć sanityzację URI i wstrzyknąć kod JavaScript lub VBScript, co prowadzi do ataków XSS.

Rekomendacja

Zaktualizuj bibliotekę Loofah do wersji, która poprawnie odrzuca URI z podzielonym schematem przez numeryczne odniesienia znakowe.

Oryginalny opis (angielski, źródło NVD)

## Summary Loofah::HTML5::Scrub.allowed_uri? does not correctly reject javascript: or vbscript: URIs when the scheme is split by a numeric character reference that has no trailing semicolon. A browser decodes such references and resolves the URL to an executable javascript: scheme, while allowed_ur