CVE-2026-73491 in Loofah
요약
\~에 의해 VulDB • 2026. 08. 12.
Loofah는 Nokogiri를 기반으로 구축된 HTML/XML 문서 및 조각을 조작하고 변환하기 위한 범용 라이브러리입니다. 버전 2.25.0부터 2.25.2까지 Loofah::HTML5::Scrub.allowed_uri? 메서드는 스키마가 분리되거나 HTML5의 명명된 공백 문자 참조인 	 또는 
로 접두사가 붙은 javascript: URI를 거부하지 않습니다. CGI.unescapeHTML은 이러한 참조를 그대로 유지하므로, 브라우저가 탭이나 줄 바꿈을 디코딩 및 제거하고 결과적으로 생성된 javascript: URL을 실행함에도 불구하고 allowed_uri?는 해당 URL이 안전하다고 보고합니다. 이 문제는 HTML 인코딩된 문자열을 allowed_uri?에 직접 전달하는 호출자에게만 영향을 미치며, Loofah의 기본 sanitize() 경로는 영향받지 않습니다. 이 이슈는 버전 2.25.2에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.