CVE-2026-73490 in Loofah
Zusammenfassung
von VulDB • 13.08.2026
Loofah ist eine allgemeine Bibliothek zur Manipulation und Transformation von HTML/XML-Dokumenten und -Fragmenten, die auf Nokogiri aufbaut. Vor Version 2.25.2 wendet der HTML5-Sanitizer in Loofah seine Einschränkung für lokale Referenzen (local-reference restriction) nur auf das Attribut `xlink:href` bei SVG-Elementen vom Typ `<use>` und `<feImage>` an, während Browser auch das einfache `href`-Attribut akzeptieren. Ein speziell konstruierter, gesaniterter SVG-Inhalt kann daher ein beliebiges externes Dokument derselben Herkunft (same-origin) referenzieren; dies kann dazu führen, dass externer SVG-Inhalt mit Skripten oder anderen gefährlichen Inhalten gerendert wird und `<feImage>` externe Bilder zum Tracking lädt. Anwendungen, die vom Benutzer bereitgestellte SVG-Daten unter Verwendung der Standard-Whitelist von Loofah sanitizen, sind betroffen. Dieses Problem wurde in Version 2.25.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.