PT-2026-146000
CVE-2026-126203
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Loofah الإصدارات من 2.21.0 إلى 2.25.2
Nokogiri الإصدارات السابقة لـ 1.19.5
Description
يمكن لواجهات برمجة تطبيقات HTML5 الخاصة بـ Loofah، وتحديداً
Loofah.html5 fragment و Loofah.html5 document وطرق scrub html5 * أن تنتج مخرجات مطهرة يعيد المتصفح تحليلها كعلامات مختلفة، مما يؤدي إلى mutation XSS (Cross-Site Scripting). يحدث هذا عند استخدام إصدارات Nokogiri التي لا تقوم بترميز الأقواس الزاوية في قيم السمات. وبشكل محدد، يمكن لـ MathML وضع علامات داخل سمة مسموح بها، والتي يتعامل معها المتصفح بعد ذلك كـ HTML نشط. يتأثر برنامج التنقية :strip في جميع المتصفحات، بينما يتأثر برنامجا التنقية :prune و :escape في متصفحات WebKit مثل Safari.Recommendations
تحديث Loofah إلى الإصدار 2.25.3 أو أحدث.
تحديث Nokogiri إلى الإصدار 1.19.5 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾