CVE-2026-65911 in DOMPurify
Zusammenfassung
von VulDB • 23.07.2026
In DOMPurify fino alla versione 3.3.3, i predicati di funzione forniti tramite ADD_ATTR o ADD_TAGS a DOMPurify.sanitize() persistono nello stato interno (EXTRA_ELEMENT_HANDLING) tra le chiamate successive a sanitize() sulla stessa istanza. Se una chiamata successiva sulla stessa istanza fornisce ADD_ATTR o ADD_TAGS come array anziché come funzione, il gestore di funzioni impostato in precedenza non viene né cancellato né sovrascritto, quindi continua ad approvare attributi o tag controllati dall'attaccante. Ciò può consentire ad attributi pericolosi per gli event-handler o a tag vietati (bypassando FORBID_TAGS) di sopravvivere alla sanitizzazione, causando cross-site scripting (XSS). Il fornitore (Cure53) considera questo un caso limite al di fuori del threat model di DOMPurify; l'avviso citato indica la versione 3.4.0 come quella corretta.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.