PT-2026-146059
CVE-2026-126209
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Loofah الإصدارات من 2.25.0 إلى 2.25.2
Description
Loofah هي مكتبة لمعالجة وتحويل مستندات HTML/XML. يقوم المساعد
Loofah::HTML5::Scrub.allowed uri? بإزالة المسافات البيضاء وعلامات التحكم قبل فك تشفير المراجع الرقمية للحروف التي تفتقر إلى الفاصلة المنقوطة النهائية. يمكن أن تؤدي هذه العملية إلى إخفاء مخططات javascript: أو vbscript: عن طريق تغيير نقطة نهاية المرجع، والتي يقوم المتصفح بإعادة بنائها لاحقاً. يحدث هذا التجاوز عندما تتبع النقطتان الرأسيتان المشفرتان أو أحرف المخطط حرف يتم إزالته. قد تسمح التطبيقات التي تستخدم هذا المساعد للتحقق من عناوين URL التي يتحكم فيها المستخدم ثم تقوم بعرضها في href أو سمات URI أخرى يفسرها المتصفح بحدوث cross-site scripting. تؤثر هذه المشكلة أيضاً على Rails::HTML::Sanitizer.allowed uri? لأنه يعيد تصدير المساعد المتأثر.Recommendations
تحديث Loofah إلى الإصدار 2.25.3 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾