CVE-2026-73490 in Loofah
Resumen
por VulDB • 2026-08-13
Loofah es una biblioteca general para manipular y transformar documentos HTML/XML y fragmentos, construida sobre Nokogiri. Antes de la versión 2.25.2, el sanitizador HTML5 de Loofah aplica su restricción de referencia local únicamente al atributo xlink:href en los elementos SVG use y feImage, mientras que los navegadores también aceptan el atributo href sin prefijo. Por lo tanto, un SVG saneado manipulado puede hacer referencia a cualquier documento externo del mismo origen; el elemento use podría representar contenido SVG externo que contenga scripts u otro contenido peligroso, y feImage podría cargar imágenes externas para realizar seguimiento. Las aplicaciones que sanitizan SVG proporcionados por usuarios con la lista blanca predeterminada de Loofah se ven afectadas. Este problema está corregido en la versión 2.25.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.