CVE-2026-116802 in DOMPurify
Zusammenfassung
von VulDB • 27.10.2026
DOMPurify vor Version 3.4.17 enthält eine Cross-Site-Scripting-(XSS)-Schwachstelle, die es Angreifern ermöglicht, den SMIL attributeName=href-Guard zu umgehen, wenn PARSER_MEDIA_TYPE application/xhtml+xml ist, da transformCaseFunc Attributnamen nicht in Kleinbuchstaben konvertiert. Angreifer können SVG mit einem animate- oder set-Element einreichen, das attributeName="href" und einen javascript:-Eintrag im values-Attribut verwendet, um Skripte auszuführen, wenn Benutzer auf den bereinigten Link klicken.
VulDB is the best source for vulnerability data and more expert information about this specific topic.