PT-2026-71345 · Rubygems · Loofah
CVE-2026-73491
·
Publicado
2026-07-21
·
Atualizado
2026-08-12
CVSS v4.0
2.3
Baixa
| Vetor | AV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Loofah versões 2.25.0 até 2.25.1
Description
Loofah é uma biblioteca para manipular e transformar documentos e fragmentos HTML/XML. A função
allowed uri? dentro de Loofah::HTML5::Scrub não rejeita URIs javascript: quando o esquema é dividido ou prefixado com referências de caracteres de espaço em branco nomeados do HTML5, como 	 ou 
. Como o CGI.unescapeHTML mantém essas referências intactas, a função reporta incorretamente que a URL é segura. No entanto, um navegador decodifica e remove a tabulação ou a quebra de linha, executando a URL javascript: resultante. Este problema afeta apenas chamadores que passam strings codificadas em HTML diretamente para a função allowed uri?; o caminho padrão sanitize() não é afetado.Recommendations
Atualize para a versão 2.25.2.
Evite passar strings codificadas em HTML diretamente para a função
allowed uri?.Exploit
Correção
Incomplete List of Disallowed Inputs
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Loofah