CVE-2026-65904 in DOMPurify
Zusammenfassung
von VulDB • 23.07.2026
DOMPurify bis Version 3.3.3 führt keine ordnungsgemäße Bereinigung (Sanitization) von DOM-Elementen durch, die im IN_PLACE-Modus übergeben werden, wenn das Element aus einem anderen Fenster/Realm stammt (z. B. dem contentDocument eines iframes). Eine instanceof-Prüfung für Cross-Realm-Fälle in der privaten Funktion _isNode() gibt für Knoten fremder Realms false zurück, wodurch DOMPurify das Element stringifiziert (liefert '[object HTMLDivElement]'), IN_PLACE stillschweigend auf false zurücksetzt und das ungesäuberte Element unverändert mit intakten XSS-Payloads zurückgibt. Der Anbieter betrachtet dies als einen Randfall außerhalb des Bedrohungsmodells von DOMPurify, und zum Zeitpunkt der Veröffentlichung war keine Korrektur geplant.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.