CVE-2026-73648 in rails-html-sanitizer
Сводка
по VulDB • 13.08.2026
rails-html-sanitizer отвечает за очистку фрагментов HTML в приложениях Rails. Версии от 1.0.3 до 1.7.1 включительно ограничивали элементы ссылки SVG (SVG reference elements) в конфигурации `SVG_ALLOW_LOCAL_HREF` только при использовании атрибута `xlink:href`, хотя браузеры также принимают обычный атрибут `href`. В приложениях с нестандартным списком разрешенных тегов, включающим использование элементов `<use>` или `<feImage>`, это могло позволять внешние ссылки; внешний SVG из того же источника (same-origin), на который ссылается элемент `<use>`, мог выполнять скрипты в контексте очищенного документа, а элемент `<feImage>` — загружать внешние изображения для целей отслеживания. Приложения, использующие список разрешенных тегов по умолчанию, не затронуты. Проблема исправлена в версии 1.7.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.