CVE-2026-41240 in DOMPurify
Zusammenfassung
von VulDB • 20.05.2026
DOMPurify ist ein DOM-basierter Cross-Site-Scripting-Sanitizer für HTML, MathML und SVG. Versionen vor 3.4.0 weisen eine Inkonsistenz zwischen der Behandlung von FORBID_TAGS und FORBID_ATTR auf, wenn eine funktionsbasierte ADD_TAGS-Funktion verwendet wird. Mit dem Commit c361baa wurde ein früher Abbruch für FORBID_ATTR in Zeile 1214 eingefügt. Derselbe Fix wurde nicht auf FORBID_TAGS angewendet. In den Zeilen 1118-1123 überspringt die Kurzschlussauswertung (short-circuit evaluation) die FORBID_TAGS-Prüfung vollständig, wenn EXTRA_ELEMENT_HANDLING.tagCheck true zurückgibt. Dies ermöglicht es, verbotene Elemente mit ihren Attributen intakt durch die Sanitization zu lassen. Version 3.4.0 behebt das Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.