PT-2026-146053
CVE-2026-126206
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Loofah الإصدارات السابقة لـ 2.25.3
Description
Loofah هي مكتبة لمعالجة وتحويل مستندات HTML/XML. تقوم الدالة
Loofah::HTML5::Scrub.allowed uri? (والتي يتم إعادة تصديرها بواسطة Rails::HTML::Sanitizer.allowed uri?) بمعالجة URIs البيانات التي تحتوي على مرجع solidus المسمى في HTML5 وهو / بشكل غير صحيح. نظرًا لأن الدالة تستخدم CGI.unescapeHTML التي لا تدعم مراجع الأحرف المسماة في HTML5، فإن المرجع / لا يتم فك تشفيره. يؤدي هذا إلى اعتبار mediatype مشوهًا، مما يجعل النظام يتراجع إلى النوع المسموح به text/plain. ومع ذلك، تقوم متصفحات الويب بفك تشفير المرجع وتفسير URI على أنها text/html. قد تكون التطبيقات التي تستخدم هذا المساعد للتحقق من صحة روابط URL التي يتحكم فيها المستخدم ثم تقوم بعرضها في href أو سمات URI أخرى يفسرها المتصفح عرضة لهجمات cross-site scripting. تؤثر هذه المشكلة تحديدًا على استدعاءات المساعد allowed uri? التي تمرر سلاسل نصية مشفرة بتنسيق HTML؛ بينما لا يتأثر مسار sanitize() الافتراضي.Recommendations
تحديث Loofah إلى الإصدار 2.25.3 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾