CVE-2026-73648— rails-html-sanitizer 特定配置下存在XSS漏洞
一分钟漏洞结论
影响对象
rails rails-html-sanitizer
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
rails-html-sanitizer 库负责在 Rails 应用中清理 HTML 片段。从版本 1.0.3 到 1.7.1，Rails::HTML::PermitScrubber 仅在 SVG 元素使用 xlink:href 属性时才将 SVG 引用元素限制在 SVG_ALLOW_LOCAL_HREF 列表中，而实际上浏览器也支持使用普通的 href 属性。因此，如果应用自定义了允许标签并包含了 svg、use 或 feImage 元素，则可能允许外部引用。通过 use 元素引用同源外部 SVG 时，可能在清理
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| rails | rails-html-sanitizer | >= 1.0.3, < 1.7.1 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-73648 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
rails-html-sanitizer: Possible XSS vulnerability with certain configurations
来源: CVE Program / CVE List V5
Vulnerability Description
rails-html-sanitizer is responsible for sanitizing HTML fragments in Rails applications. From 1.0.3 until 1.7.1, Rails::HTML::PermitScrubber restricted SVG reference elements in SVG_ALLOW_LOCAL_HREF only when they used xlink:href, even though browsers also accept the plain href attribute. Applications with non-default allowed tags that included SVG use or feImage elements could therefore permit external references; a same-origin external SVG referenced by use could execute scripts in the sanitized document's context, while feImage could load external images for tracking. Applications using the default allowed tags are not affected. This issue is fixed in version 1.7.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| rails | rails-html-sanitizer | >= 1.0.3, < 1.7.1 | - |
|
二、漏洞 CVE-2026-73648 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-73648 的情报信息
请登录查看更多情报信息。
CVE-2026-73648 补丁与修复 (3)
-
-
🔗 Release v1.7.1 · rails/rails-html-sanitizer · GitHub x_refsource_MISC
-
CVE-2026-73648 厂商安全公告 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-73648
暂无评论