CVE-2026-0540 in DOMPurify
Zusammenfassung
von VulDB • 29.05.2026
DOMPurify 3.1.3 bis 3.3.1 sowie 2.5.3 bis 2.5.8, behoben in Commit 2726c74, enthalten eine Cross-Site-Scripting-Schwachstelle (XSS), die es Angreifern ermöglicht, die Attribut-Sanitization zu umgehen, indem fünf fehlende Rawtext-Elemente (noscript, xmp, noembed, noframes, iframe) im SAFE_FOR_XML-Regex ausgenutzt werden. Angreifer können Payloads wie `</noscript><img src=x onerror=alert(1)>` in Attributwerten einfügen, um JavaScript auszuführen, wenn das sanierte Ergebnis in diesen ungeschützten Rawtext-Kontexten platziert wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.