CVE-2026-73490
Açıklama
Loofah, Nokogiri üzerine inşa edilmiş, HTML/XML belgelerini ve parçalarını manipüle etmek ve dönüştürmek için kullanılan genel bir kütüphanedir. 2.25.2 sürümünden önce, Loofah'ın HTML5 temizleyicisi yerel referans kısıtlamasını yalnızca SVG use ve feImage öğelerindeki xlink:href özniteliğine uygularken, tarayıcılar düz href özniteliğini de kabul etmektedir. Bu nedenle, özel olarak hazırlanmış temizlenmiş bir SVG, rastgele bir aynı kökenli harici belgeye referans verebilir; use kullanımı scriptler veya diğer tehlikeli içerikler içeren harici SVG içeriğini işleyebilir ve feImage izleme amacıyla harici resimler yükleyebilir. Kullanıcı tarafından sağlanan SVG'leri Loofah'ın varsayılan izin listesiyle temizleyen uygulamalar etkilenmektedir. Bu sorun 2.25.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flavorjones loofah | < 2.25.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.