CVE-2026-73492
Açıklama
Loofah, Nokogiri üzerine inşa edilmiş, HTML/XML belgelerini ve parçalarını manipüle etmek ve dönüştürmek için kullanılan genel bir kütüphanedir. 2.25.0 ile 2.25.2 sürümleri arasında, Loofah::HTML5::Scrub.allowed_uri?, şeması :, 	, 
 veya 
 gibi noktalı virgül içermeyen sayısal karakter referanslarıyla bölünmüş olan javascript: veya vbscript: URI'lerini reddetmemektedir. CGI.unescapeHTML bu referansları kodlanmış halde bıraktığından, bir tarayıcı kodlanmış iki noktayı çözdüğünde veya kodlanmış boşlukları temizleyip sonuçlanan URI şemasını çalıştırdığında bile allowed_uri? URL'yi güvenli olarak raporlamaktadır. Bu sorun yalnızca allowed_uri? fonksiyonuna doğrudan HTML-kodlu dizgeler gönderen çağrıcıları etkilemektedir; Loofah'ın varsayılan sanitize() yolu etkilenmemiştir. Bu sorun 2.25.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flavorjones loofah | >= 2.25.0, < 2.25.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.