CVE-2026-126209

Nome do Software Vulnerável e Versões Afetadas Loofah versões 2.25.0 até 2.25.2

Description Loofah é uma biblioteca para manipulação e transformação de documentos HTML/XML. O auxiliar Loofah::HTML5::Scrub.allowed uri? remove espaços em branco e caracteres de controle antes de decodificar referências de caracteres numéricos que não possuem ponto e vírgula final. Esse processo pode ocultar esquemas javascript: ou vbscript: ao alterar onde a referência termina, os quais são posteriormente reconstruídos por um navegador. Essa falha ocorre quando dois pontos codificados ou letras de esquema são seguidos por um caractere removido. Aplicações que utilizam esse auxiliar para validar URLs controladas pelo usuário e as renderizam em href ou outros atributos de URI interpretados pelo navegador podem permitir cross-site scripting. Este problema também afeta o Rails::HTML::Sanitizer.allowed uri?, pois ele reexporta o auxiliar afetado.

Recommendations Atualize o Loofah para a versão 2.25.3 ou posterior.