CVE-2026-73492

Nome do Software Vulnerável e Versões Afetadas Loofah versões 2.25.0 a 2.25.1

Description Loofah é uma biblioteca para manipular e transformar documentos e fragmentos HTML/XML. A função allowed uri? dentro de Loofah::HTML5::Scrub não rejeita URIs javascript: ou vbscript: quando o esquema é dividido por referências de caracteres numéricos sem ponto e vírgula, como &#58, &#9, &#10 ou &#13. Como o CGI.unescapeHTML mantém essas referências codificadas, a função identifica incorretamente a URL como segura. No entanto, os navegadores decodificam esses dois-pontos codificados ou removem espaços em branco codificados, resultando na execução do esquema da URI. Este problema afeta apenas chamadas que passam strings codificadas em HTML diretamente para a função allowed uri?; o caminho padrão sanitize() não é afetado.

Recommendations Atualize para a versão 2.25.2. Evite passar strings codificadas em HTML diretamente para a função allowed uri?.