CVE-2026-116802 in DOMPurify
الملخص
بحسب VulDB • 27/10/2026
تحتوي DOMPurify قبل الإصدار 3.4.17 على ثغرة برمجية لبرمجة المواقع عبر الأطراف (Cross-Site Scripting - XSS) تتيح للمهاجمين تجاوز حماية SMIL attributeName=href عندما يكون PARSER_MEDIA_TYPE هو application/xhtml+xml، وذلك لأن دالة transformCaseFunc لا تقوم بتحويل أسماء السمات إلى أحرف صغيرة. يمكن للمهاجمين تقديم ملف SVG يحتوي على عنصر animate أو set باستخدام attributeName="href" وقيمة javascript: في حقل القيم لتنفيذ سكريبت عند نقر المستخدمين على الرابط الذي تم تنقيحه.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.