GHSA-8whx-365g-h9vv

Niskie

Opublikowano: —Przetłumaczono: 27/07/2026(UTC)NVD NIST

Streszczenie

Metoda Loofah::HTML5::Scrub.allowed_uri? niepoprawnie odrzuca URI javascript:, gdy schemat jest podzielony lub poprzedzony nazwanymi odniesieniami znakowymi HTML5 &Tab; (tabulacja) lub &NewLine; (znak nowej linii). Jest to obejście poprawki dla GHSA-46fp-8f5p-pf2m, która dotyczyła równoważnych numerycznych odniesień znakowych.

Ocena ryzyka

Atakujący może ominąć sanityzację URI, używając nazwanych odniesień znakowych, co umożliwia wstrzyknięcie kodu JavaScript i ataki XSS.

Rekomendacja

Zaktualizuj bibliotekę Loofah do wersji, która poprawnie odrzuca URI javascript: z nazwanymi odniesieniami znakowymi.

Oryginalny opis (angielski, źródło NVD)

## Summary Loofah::HTML5::Scrub.allowed_uri? does not correctly reject javascript: URIs when the scheme is split or prefixed by the HTML5 named character references &Tab; (tab) or &NewLine; (line feed). This is a bypass of the fix for GHSA-46fp-8f5p-pf2m, which handled the equivalent numeric chara