CVE-2026-73491

Nome do Software Vulnerável e Versões Afetadas Loofah versões 2.25.0 até 2.25.1

Description Loofah é uma biblioteca para manipular e transformar documentos e fragmentos HTML/XML. A função allowed uri? dentro de Loofah::HTML5::Scrub não rejeita URIs javascript: quando o esquema é dividido ou prefixado com referências de caracteres de espaço em branco nomeados do HTML5, como 	 ou 
. Como o CGI.unescapeHTML mantém essas referências intactas, a função reporta incorretamente que a URL é segura. No entanto, um navegador decodifica e remove a tabulação ou a quebra de linha, executando a URL javascript: resultante. Este problema afeta apenas chamadores que passam strings codificadas em HTML diretamente para a função allowed uri?; o caminho padrão sanitize() não é afetado.

Recommendations Atualize para a versão 2.25.2. Evite passar strings codificadas em HTML diretamente para a função allowed uri?.