PT-2026-71345
CVE-2026-73491
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Loofah من 2.25.0 إلى 2.25.1
الوصف
Loofah هي مكتبة مخصصة لمعالجة وتحويل مستندات وأجزاء HTML/XML. تفشل الدالة
allowed uri? الموجودة داخل Loofah::HTML5::Scrub في رفض عناوين URI التي تبدأ بـ javascript: عندما يتم تقسيم المخطط أو إرفاقه ببادئة من مراجع أحرف المسافات البيضاء المسماة في HTML5 مثل 	 أو 
. ونظرًا لأن CGI.unescapeHTML لا تزيل هذه المراجع، فإن الدالة تحدد عنوان URL بشكل خاطئ على أنه آمن. ومع ذلك، يقوم المتصفح بفك تشفير هذه الأحرف وإزالتها، مما يؤدي إلى تنفيذ عنوان URL javascript:. تؤثر هذه المشكلة بشكل خاص على المستدعين الذين يمررون سلاسل مشفرة بـ HTML مباشرةً إلى الدالة allowed uri?؛ ولا يتأثر المسار الافتراضي sanitize().التوصيات
قم بالتحديث إلى الإصدار 2.25.2.
تجنب تمرير سلاسل مشفرة بتنسيق HTML مباشرةً إلى الدالة
allowed uri?. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾