CVE-2026-73490 in Loofah
要約
〜によって VulDB • 2026年08月13日
Loofahは、Nokogiriの上に構築されたHTML/XML文書およびフラグメントの操作と変換のための汎用ライブラリです。バージョン2.25.2より前では、LoofahのHTML5サニタイザーは、SVGの`use`要素および`feImage`要素における`xlink:href`属性に対してのみローカル参照制限を適用しますが、ブラウザはプレーンな`href`属性も受け入れます。そのため、悪意のある加工されたサニタイズ済みSVGが任意の同一オリジンの外部文書を参照することが可能になります。これにより、`use`要素を使用してスクリプトやその他の危険なコンテンツを含む外部SVGレンダリングが行われたり、`feImage`によって追跡用の外部画像が読み込まれたりする可能性があります。Loofahのデフォルトのホワイトリストを使用してユーザー提供のSVGをサニタイズするアプリケーションは影響を受けます。この問題はバージョン2.25.2で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.