PT-2026-146052
CVE-2026-126205
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Loofah الإصدارات السابقة لـ 2.25.3
Description
يحتوي برنامج تنقية HTML5 في Loofah على خلل عند فحص سمات
href و xlink:href في العناصر الموجودة ضمن SVG ALLOW LOCAL HREF. يستخدم برنامج التنقية تعبيرًا نمطيًا حيث تتسبب مرساة السطر والمسافات البيضاء المطابقة للسطر الجديد في إعادة فحص القيم التي تتكون من مسافات بيضاء فقط من بداية كل سطر. يمكن للمهاجم استغلال ذلك عن طريق إرسال عنصر مرجعي SVG بسمة مسافات بيضاء طويلة متعددة الأسطر، مما يؤدي إلى استهلاك وحدة المعالجة المركزية بشكل تربيعي أثناء عملية التنقية. تؤثر هذه المشكلة على JRuby و CRuby 3.1 والإصدارات الأقدم، بينما لا يتأثر CRuby 3.2 والإصدارات الأحدث بسبب استخدام مطابقة التعبيرات النمطية في وقت خطي.Recommendations
التحديث إلى الإصدار 2.25.3 أو أحدث.
تشغيل التطبيق على Ruby 3.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾