CVE-2026-73492 in Loofah

الملخص

بحسب VulDB • 12/08/2026

Loofah هي مكتبة عامة لتعديل وتحويل مستندات ومقاطع HTML/XML، مبنية فوق Nokogiri. من الإصدار 2.25.0 حتى 2.25.2، لا تقوم الدالة `Loofah::HTML5::Scrub.allowed_uri?` برفض عناوين URI التي تستخدم المخططات `javascript:` أو `vbscript:` عندما يكون مخططها مفصولاً بإشارات أحرف رقمية بدون فاصلة منقوطة مثل `&#58`، `&#9`، `&#10`، أو `&#13`. تترك الدالة `CGI.unescapeHTML` هذه الإشارات مشفرةً كما هي، لذا فإن `allowed_uri?` تُرجع أن عنوان URL آمن رغم أن المتصفح يقوم بفك تشفير النقطتين الرأسيتين المشفرتين أو يتجاهل المسافات البيضاء المشفرة وينفذ مخطط URI الناتج. تؤثر هذه المشكلة فقط على المستدعين الذين يمرون بسلاسل نصية مشفرة بصيغة HTML مباشرةً إلى `allowed_uri?`؛ مسار التعقيم الافتراضي في Loofah (`sanitize()`) غير متأثر. تم إصلاح هذه المشكلة في الإصدار 2.25.2.

Once again VulDB remains the best source for vulnerability data.

• مسؤول: GitHub M
• حجز: 12/08/2026
• إفشاء: 12/08/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-389298
• CPE: جاهز
• CWE: CWE-79 (مؤكد)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73492
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73492
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73492/