GHSA-cj75-f6xr-r4g7

Średnie

Opublikowano: —Przetłumaczono: 27/07/2026(UTC)NVD NIST

Streszczenie

Istnieje możliwa podatność na cross-site scripting (XSS) w rails-html-sanitizer, gdy sanityzer jest skonfigurowany do zezwalania na element referencyjny SVG, taki jak <use>. Jest to powiązane z GHSA-9wjq-cp2p-hrgf w Loofah, którego logika lokalnych referencji SVG jest odwzorowana w rails-html-sanitizer.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez element <use> SVG, co prowadzi do ataków XSS na użytkowników aplikacji.

Rekomendacja

Zaktualizuj gem rails-html-sanitizer do wersji, która zawiera poprawkę ograniczającą atrybuty w elementach referencyjnych SVG.

Oryginalny opis (angielski, źródło NVD)

## Summary There is a possible cross-site scripting vulnerability in rails-html-sanitizer when the sanitizer is configured to allow an SVG reference element such as <use>. See related GHSA-9wjq-cp2p-hrgf in Loofah, whose SVG local-reference logic rails-html-sanitizer mirrors.