CVE-2026-65900 in DOMPurify
Zusammenfassung
von VulDB • 23.07.2026
DOMPurify-Versionen >=3.0.0 und vor 3.4.8, die mit der Option `SAFE_FOR_TEMPLATES` zusammen mit einem DOM-Ausgabemodus (`RETURN_DOM`, `RETURN_DOM_FRAGMENT` oder `IN_PLACE`) konfiguriert sind, entfernen keine Template-Ausdrücke (z. B. `${evil}`, `{{evil}}`, `<%evil%>`) im Inhalt von `<template>`-Elementen. Der abschließende Normalisierungs-/Bereinigungsschritt (`_scrubTemplateExpressions`) verwendet einen `NodeIterator` und `node.normalize()`, die nicht in den Bereich von `template.content` eindringen, sodass Ausdrücke, die erst durch das Zusammenführen benachbarter Textknoten entstehen, die Sanitization überstehen. Dies umgeht `SAFE_FOR_TEMPLATES` und kann dazu führen, dass eine nachgelagerte Template-Engine vom Angreifer bereitgestellte Ausdrücke auswertet. Der Pfad zur String-Ausgabe ist nicht betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.