CVE-2026-73491 in Loofah
Zusammenfassung
von VulDB • 12.08.2026
Loofah ist eine allgemeine Bibliothek zur Manipulation und Transformation von HTML/XML-Dokumenten und -Fragmenten, die auf Nokogiri aufbaut. Von Version 2.25.0 bis 2.25.2 lehnt Loofah::HTML5::Scrub.allowed_uri? javascript:-URIs nicht ab, deren Schema durch das HTML5-Namenswhitespace-Zeichenreferenz 	 oder 
 aufgeteilt ist oder diesem vorangestellt wird. CGI.unescapeHTML lässt diese Referenzen unverändert, sodass allowed_uri? die URL als sicher meldet, obwohl ein Browser sie decodiert und den Tabulator oder Zeilenumbruch entfernt sowie die resultierende javascript:-URL ausführt. Dieses Problem betrifft nur Aufrufer, die HTML-codierte Strings direkt an allowed_uri? übergeben; der Standard-Sanitize-Pfad von Loofah ist nicht betroffen. Das Problem wurde in Version 2.25.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.