CVE-2026-73490 in Loofah
Sumário
de VulDB • 13/08/2026
Loofah é uma biblioteca geral para manipulação e transformação de documentos HTML/XML e fragmentos, construída sobre o Nokogiri. Antes da versão 2.25.2, o sanitizador HTML5 do Loofah aplica sua restrição de referência local apenas ao atributo xlink:href nos elementos SVG use e feImage, enquanto os navegadores também aceitam o atributo href simples. Portanto, um SVG sanitizado elaborado pode referenciar qualquer documento externo da mesma origem; o elemento use pode renderizar conteúdo SVG externo contendo scripts ou outros conteúdos perigosos, e o feImage pode carregar imagens externas para rastreamento. Aplicações que sanificam SVG fornecido pelo usuário com a lista de permissões padrão do Loofah são afetadas. Este problema foi corrigido na versão 2.25.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.