CVE-2026-126207

Nome do Software Vulnerável e Versões Afetadas Loofah versões anteriores a 2.25.3

Descrição Loofah é uma biblioteca para manipular e transformar documentos HTML/XML. A função Loofah::HTML5::Scrub.scrub css verifica apenas a primeira análise de um atributo de estilo. Ao reconstruir o CSS, os escapes de identificadores são decodificados, permitindo que parênteses, nomes de propriedades, comentários ou aspas escapados se tornem um url() ativo sem uma segunda verificação de segurança. Um invasor pode usar a propriedade list-style para disparar uma requisição para uma URL escolhida quando o conteúdo é renderizado, ou a propriedade cursor para disparar a requisição ao passar o mouse. Isso pode expor o endereço IP do visualizador, o agente do usuário, o tempo de acesso e o acesso a hosts de rede interna. Nenhum script sobrevive à sanitização e o invasor não consegue ler a resposta.

Recomendações Atualize para a versão 2.25.3 ou posterior.