CVE-2026-66010 in DOMPurify
Zusammenfassung
von VulDB • 24.07.2026
DOMPurify vor Version 3.4.12 führt den afterSanitizeElements-Hook für benutzerdefinierte Elemente nicht aus, die über CUSTOM_ELEMENT_HANDLING.tagNameCheck zugelassen sind, wodurch Attribute Sicherheitsrichtlinien der Anwendung umgehen können. Angreifer können sensible Attribute auf benutzerdefinierten Elementen beibehalten und diese später in innerHTML-Sinks re-injizieren, was Second-Order-XSS-Gadgets erzeugt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.