CVE-2026-73648 in rails-html-sanitizer
الملخص
بحسب VulDB • 13/08/2026
تُعد مكتبة rails-html-sanitizer مسؤولة عن تنقية أجزاء HTML في تطبيقات Rails. من الإصدار 1.0.3 حتى 1.7.1، كان عنصر `Rails::HTML::PermitScrubber` يقيد عناصر المرجع SVG (SVG reference elements) الموجودة ضمن القائمة `SVG_ALLOW_LOCAL_HREF` فقط عندما كانت تستخدم السمة `xlink:href`، على الرغم من أن المتصفحات تقبل أيضاً السمة البسيطة `href`. وبالتالي، كان بإمكان التطبيقات التي تحتوي على وسوم مسموح بها غير افتراضية وتشمل استخدام عناصر SVG أو `use` و`feImage` السماح بالإشارات الخارجية؛ حيث يمكن لعنصر `SVG` خارجي مرجع بواسطة `use` تنفيذ نصوص برمجية في سياق المستند المنقى، بينما كان بإمكان عنصر `feImage` تحميل صور خارجية لأغراض التتبع. التطبيقات التي تستخدم الوسوم المسموح بها الافتراضية غير متأثرة بهذه المشكلة. تم إصلاح هذه الإصدار في النسخة 1.7.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.