PT-2026-146054
CVE-2026-126207
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
4.7
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Loofah الإصدارات السابقة لـ 2.25.3
الوصف
Loofah هي مكتبة لمعالجة وتحويل مستندات HTML/XML. تقوم الدالة
Loofah::HTML5::Scrub.scrub css بفحص التحليل الأول لسمة النمط فقط. عند إعادة بناء CSS، يتم فك تشفير هروبات المعرفات، مما يسمح للأقواس أو أسماء الخصائص أو التعليقات أو علامات الاقتباس المهربة بأن تصبح url() نشطًا دون إجراء فحص أمان ثانٍ. يمكن للمهاجم استخدام خاصية list-style لجعل متصفح المشاهد يرسل طلبًا إلى عنوان URL يختاره المهاجم عند عرض المحتوى، أو خاصية cursor لإرسال الطلب عند تمرير الماوس. يمكن أن يؤدي ذلك إلى الكشف عن عنوان IP الخاص بالمشاهد، وعامل المستخدم، وتوقيت الوصول، والوصول إلى مضيفين في الشبكة الداخلية. لا ينجو أي نص برمجى من عملية التطهير ولا يمكن للمهاجم قراءة الاستجابة.التوصيات
التحديث إلى الإصدار 2.25.3 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾