CVE-2026-126206

Nome do Software Vulnerável e Versões Afetadas Loofah versões anteriores a 2.25.3

Description Loofah é uma biblioteca para manipular e transformar documentos HTML/XML. A função Loofah::HTML5::Scrub.allowed uri? (também reexportada por Rails::HTML::Sanitizer.allowed uri?) lida incorretamente com URIs de dados que contenham a referência de solidus nomeada do HTML5 /. Como a função utiliza CGI.unescapeHTML, que não suporta referências de caracteres nomeadas do HTML5, a referência / não é decodificada. Isso faz com que o mediatype seja tratado como malformado, levando o sistema a reverter para o tipo permitido text/plain. No entanto, os navegadores decodificam a referência e interpretam a URI como text/html. Aplicações que utilizam este auxiliar para validar URLs controladas pelo usuário e as renderizam em href ou outros atributos de URI interpretados pelo navegador podem estar suscetíveis a cross-site scripting. Este problema afeta especificamente as chamadas ao auxiliar allowed uri? que passam strings codificadas em HTML; o caminho padrão sanitize() não é afetado.

Recommendations Atualize o Loofah para a versão 2.25.3 ou posterior.