CVE-2026-73490 in Loofah
Riassunto
di VulDB • 12/08/2026
Loofah è una libreria generica per la manipolazione e la trasformazione di documenti HTML/XML e dei relativi frammenti, basata su Nokogiri. Prima della versione 2.25.2, il sanitizer HTML5 di Loofah applica la restrizione sui riferimenti locali solo all'attributo xlink:href sugli elementi SVG `use` e `feImage`, mentre i browser accettano anche l'attributo semplice `href`. Di conseguenza, un SVG sanitizzato appositamente creato può fare riferimento a documenti esterni della stessa origine; l'elemento `use` potrebbe visualizzare contenuti SVG esterni contenenti script o altri contenuti pericolosi, mentre `feImage` potrebbe caricare immagini esterne per finalità di tracciamento. Le applicazioni che sanificano gli SVG forniti dagli utenti utilizzando la whitelist predefinita di Loofah sono interessate da questa vulnerabilità. Il problema è stato risolto nella versione 2.25.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.