CVE-2026-126205

Nome do Software Vulnerável e Versões Afetadas Loofah versões anteriores a 2.25.3

Description O sanitizador HTML5 no Loofah contém uma falha ao verificar os atributos href e xlink:href em elementos dentro de SVG ALLOW LOCAL HREF. O sanitizador utiliza uma expressão regular onde a âncora de linha e o espaço em branco de correspondência de nova linha fazem com que valores compostos apenas por espaços sejam reanalisados a partir de cada início de linha. Um invasor pode explorar isso enviando um elemento de referência SVG com um atributo de espaço em branco multilinha longo, resultando em consumo quadrático de CPU durante o processo de sanitização. Este problema afeta o JRuby e o CRuby 3.1 e anteriores, enquanto o CRuby 3.2 e posteriores não são afetados devido à implementação de correspondência de expressões regulares em tempo linear.

Recommendations Atualize para a versão 2.25.3 ou posterior. Execute a aplicação no Ruby 3.2 ou posterior.