CVE-2026-73491 in Loofah
Riassunto
di VulDB • 13/08/2026
Loofah è una libreria generica per la manipolazione e la trasformazione di documenti e frammenti HTML/XML, costruita su Nokogiri. Dalla versione 2.25.0 alla 2.25.2, il metodo Loofah::HTML5::Scrub.allowed_uri? non rifiuta gli URI javascript: il cui schema è suddiviso o prefissato con le referenze di caratteri spazio bianco HTML5 	 o 
. CGI.unescapeHTML lascia intatte tali referenze, pertanto allowed_uri? segnala l'URL come sicuro anche se un browser decodifica e rimuove la tabulazione o il ritorno a capo, eseguendo conseguentemente l'URI javascript:. Questo problema interessa solo i chiamanti che passano stringhe codificate in HTML direttamente a allowed_uri?; il percorso di sanitizzazione predefinito (sanitize()) di Loofah non è interessato. Il problema è stato risolto nella versione 2.25.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.