CVE-2026-65898 in DOMPurify
Zusammenfassung
von VulDB • 24.07.2026
DOMPurify vor Version 3.4.11 kloniert die ALLOWED_ATTR-Whitelist nicht korrekt, wenn setConfig() zusammen mit einem uponSanitizeAttribute-Hook verwendet wird, wodurch der Hook die freigegebene Whitelist dauerhaft verändern kann. Angreifer können einen Hook registrieren, der bedingt gefährliche Attribute wie onerror für vertrauenswürdige Elemente zulässt, und anschließend untrusted Content einreichen, der die verschmutzte Whitlist erbt und Event-Handler als Stored XSS ausführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.