CVE-2026-73490

Nome do Software Vulnerável e Versões Afetadas Loofah versões anteriores a 2.25.2

Description O sanitizador HTML5 nesta biblioteca aplica incorretamente as restrições de referência local apenas ao atributo xlink:href nos elementos SVG use e feImage. Como os navegadores também aceitam o atributo href simples, um SVG sanitizado malicioso pode referenciar um documento externo arbitrário de mesma origem. Isso pode permitir que o elemento use renderize conteúdo SVG externo contendo scripts ou outro conteúdo perigoso, e que o elemento feImage carregue imagens externas para fins de rastreamento. Aplicações que utilizam a lista de permissões padrão para sanitizar SVG fornecido pelo usuário são afetadas.

Recommendations Atualizar para a versão 2.25.2.