CVE-2026-73492
Təsvir
Loofah, Nokogiri əsasında qurulmuş, HTML/XML sənədlərini və fraqmentlərini manipulyasiya etmək və transformasiya etmək üçün nəzərdə tutulmuş ümumi kitabxanadır. 2.25.0 versiyasından 2.25.2 versiyasına qədər Loofah::HTML5::Scrub.allowed_uri? metodu sxemi nöqtəli vergülsüz rəqəmsal simvol istinadları (məsələn, :, 	, 
 və ya 
) ilə bölünmüş javascript: və ya vbscript: URI-lərini rədd etmir. CGI.unescapeHTML bu istinadları kodlaşdırılmış şəkildə saxlayır, buna görə də brauzer kodlaşdırılmış iki nöqtəni dekodlaşdırdıqda və ya kodlaşdırılmış boşluqları təmizləyib nəticədə alınan URI sxemini icra etdikdə belə, allowed_uri? URL-i təhlükəsiz kimi hesablayır. Bu problem yalnız HTML kodlaşdırılmış sətirləri birbaşa allowed_uri? metoduna ötürən çağırıcılara təsir edir; Loofah-ın standart sanitize() yolu bundan təsirlənmir. Bu problem 2.25.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| flavorjones loofah | >= 2.25.0, < 2.25.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.