CVE-2026-126203

Nome do Software Vulnerável e Versões Afetadas Loofah versões 2.21.0 até 2.25.2 Nokogiri versões anteriores a 1.19.5

Description As APIs HTML5 do Loofah, especificamente Loofah.html5 fragment, Loofah.html5 document e os métodos scrub html5 *, podem gerar saídas sanitizadas que os navegadores interpretam como marcações diferentes, resultando em mutation XSS (Cross-Site Scripting). Isso ocorre quando utilizado com versões do Nokogiri que não escapam colchetes angulares em valores de atributos. Especificamente, o MathML pode ser usado para inserir marcações dentro de um atributo permitido, que o navegador então trata como HTML ativo. O depurador :strip é afetado em todos os navegadores, enquanto os depuradores :prune e :escape são afetados em navegadores WebKit, como o Safari.

Recommendations Atualize o Loofah para a versão 2.25.3 ou posterior. Atualize o Nokogiri para a versão 1.19.5 ou posterior.