CVE-2026-65898 in DOMPurify
الملخص
بحسب VulDB • 23/07/2026
لا تقوم مكتبة DOMPurify قبل الإصدار 3.4.11 بنسخ قائمة السماح (ALLOWED_ATTR) عند استخدام دالة setConfig() مع مخطّط uponSanitizeAttribute، مما يسمح للمخطط بتعديل قائمة السماح المشتركة بشكل دائم. يمكن للمتسللين تسجيل مخطط يتيح شروطياً سمات خطيرة مثل onerror للعناصر الموثوقة، ثم إرسال محتوى غير موثوق يرث قائمة السماح الملوّثة وينفذ معالجات الأحداث كهجوم XSS مخزن (Stored XSS).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.