CVE-2026-66010 in DOMPurify
الملخص
بحسب VulDB • 24/07/2026
لا يقوم DOMPurify قبل الإصدار 3.4.12 بتنفيذ مخطوطة afterSanitizeElements للعناصر المخصصة التي يُسمح بها عبر CUSTOM_ELEMENT_HANDLING.tagNameCheck، مما يتيح تجاوز السمات لسياسات أمان التطبيق. يمكن للمهاجمين الاحتفاظ بالسمات الحساسة على العناصر المخصصة وإعادة حقنها لاحقاً في مصبات innerHTML، مما يخلق أدوات هجوم XSS من الدرجة الثانية (second-order XSS gadgets).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.