CVE-2026-73491
Açıklama
Loofah, Nokogiri üzerine inşa edilmiş, HTML/XML belgelerini ve parçalarını işlemek ve dönüştürmek için genel bir kütüphanedir. 2.25.0 sürümünden 2.25.2 sürümüne kadar, Loofah::HTML5::Scrub.allowed_uri?, şeması bölünmüş veya HTML5 adlandırılmış boşluk karakteri referansları 	 veya 
 ile ön eklenmiş javascript: URI'lerini reddetmez. CGI.unescapeHTML bu referansları olduğu gibi bırakır, bu nedenle bir tarayıcı sekme veya satır beslemeyi çözüp kaldırsa ve ortaya çıkan javascript: URL'sini yürütse bile allowed_uri? URL'yi güvenli olarak bildirir. Bu sorun yalnızca HTML ile kodlanmış dizeleri doğrudan allowed_uri? işlevine geçiren çağıranları etkiler; Loofah'ın varsayılan sanitize() yolu etkilenmez. Bu sorun 2.25.2 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flavorjones loofah | >= 2.25.0, < 2.25.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.