PT-2022-16044 · Loofah+4 · Loofah+4

Ooooooo_Q · Publicado 2022-12-13 · Atualizado 2026-03-13 · CVE-2022-23514

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Loofah anteriores à 2.19.1

Descrição

O Loofah é uma biblioteca geral para manipulação e transformação de documentos e fragmentos HTML/XML, desenvolvida com base no Nokogiri. Ele contém uma expressão regular ineficiente que é suscetível a retrocessos excessivos ao tentar sanitizar determinados atributos SVG. Isso pode levar a uma negação de serviço por meio do consumo de recursos da CPU.

Recomendações

Atualize para a versão 2.19.1 ou posterior do Loofah. Como solução temporária, considere restringir o uso do Loofah para sanitizar atributos SVG até que um patch seja aplicado.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

ALT-PU-2023-1338

ALT-PU-2023-4267

ALT-PU-2024-7813

CVE-2022-23514

DLA-3565-1

DLA-3901-1

GHSA-486F-HJJ9-9VHH

OPENSUSE-SU-2024:12768-1

OPENSUSE-SU-2024:14171-1

OPENSUSE-SU-2025:15120-1

OPENSUSE-SU-2026:10353-1

RHSA-2023:2097

RLSA-2023:2097

SUSE-SU-2023:1657-1

SUSE-SU-2023_1657-1

Produtos afetados

Alt Linux

Astra Linux

Loofah

Rocky Linux

Suse

Referências · 36

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/23xxx/CVE-2022-23514.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/loofah/CVE-2022-23514.yml · Exploit
• https://github.com/flavorjones/loofah · Nota
• https://github.com/flavorjones/loofah/security/advisories/GHSA-486f-hjj9-9vhh · Nota
• https://github.com/flavorjones/loofah/commit/a6e0a1ab90675a17b1b2be189129d94139e4b143 · Nota
• https://bugzilla.suse.com/1206417 · Nota
• https://hackerone.com/reports/1684163 · Nota
• https://osv.dev/vulnerability/GHSA-486f-hjj9-9vhh · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-23514 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23514 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-23514 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-23514 · Aviso do Fabricante
• https://suse.com/support/update/announcement/2023/suse-su-20231657-1 · Nota
• https://t.me/cibsecurity/54506 · Publicação no Telegram
• https://suse.com/security/cve/CVE-2018-8048 · Nota