CVE-2026-73490 in Loofah
요약
\~에 의해 VulDB • 2026. 08. 12.
Loofah는 Nokogiri를 기반으로 구축된 HTML/XML 문서 및 조각을 조작하고 변환하기 위한 일반적인 라이브러리입니다. 버전 2.25.2 이전의 Loofah에서 HTML5 샌더라이저는 SVG의 `use` 요소와 `feImage` 요소에 대해 `xlink:href` 속성에만 로컬 참조 제한을 적용하지만, 브라우저에서는 일반 `href` 속성도 허용합니다. 따라서 조작된 샌드 처리된 SVG가 임의의 동일 출처 외부 문서를 참조할 수 있으며, 이는 스크립트나 기타 위험한 콘텐츠를 포함하는 외부 SVG 콘텐츠를 렌더링하거나(`use` 요소), 추적 목적으로 외부 이미지를 로드(`feImage` 요소)할 수 있습니다. Loofah의 기본 허용 목록을 사용하여 사용자가 제공한 SVG를 샌드 처리하는 애플리케이션이 영향을 받습니다. 이 문제는 버전 2.25.2에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.