CVE-2026-73491
Təsvir
Loofah, Nokogiri əsasında qurulmuş, HTML/XML sənədlərini və fraqmentlərini manipulyasiya etmək və transformasiya etmək üçün nəzərdə tutulmuş ümumi kitabxanadır. 2.25.0 versiyasından 2.25.2 versiyasına qədər Loofah::HTML5::Scrub.allowed_uri? metodu sxemi bölünmüş və ya HTML5 adlandırılmış boşluq simvol istinadları olan 	 və ya 
 ilə önəklənmiş javascript: URI-larını rədd etmir. CGI.unescapeHTML bu istinadları olduğu kimi saxlayır, buna görə də brauzer tab və ya sətir axınını dekod edib təmizlədikdən sonra nəticədə yaranan javascript: URL-ni icra etsə belə, allowed_uri? həmin URL-i təhlükəsiz kimi hesablayır. Bu problem yalnız HTML-kodlaşdırılmış sətirləri birbaşa allowed_uri?-ye ötürən çağırıcılara təsir edir; Loofah-nın standart sanitize() yolu bundan təsirlənmir. Bu problem 2.25.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flavorjones loofah | >= 2.25.0, < 2.25.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.