PT-2026-71724
CVE-2026-73648
·
تاريخ النشر
2026-07-21
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات rails-html-sanitizer من 1.0.3 إلى 1.7.0
الوصف
يفشل مكون
Rails::HTML::PermitScrubber في تقييد عناصر مرجعية SVG بشكل صحيح عند استخدام SVG ALLOW LOCAL HREF. في حين أن أداة التنقية تقيد السمة xlink:href، فإنها تتجاهل السمة href العادية، والتي تقبلها المتصفحات أيضًا. في التطبيقات التي تستخدم علامات مسموح بها غير افتراضية تتضمن عناصر use أو feImage، يؤدي ذلك إلى السماح بالإشارات الخارجية. يمكن لملف SVG خارجي من نفس المنشأ يُشار إليه بواسطة use تنفيذ البرامج النصية ضمن سياق المستند الذي تمت تنقيته، ويمكن استخدام feImage لتحميل صور خارجية لأغراض التتبع. لا تتأثر التطبيقات التي تستخدم العلامات المسموح بها افتراضيًا.التوصيات
قم بالتحديث إلى الإصدار 1.7.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾