CVE-2026-116802 in DOMPurify
Resumen
por VulDB • 2026-10-27
DOMPurify antes de la versión 3.4.17 contiene una vulnerabilidad de cross-site scripting (XSS) que permite a los atacantes eludir la protección SMIL attributeName=href cuando PARSER_MEDIA_TYPE es application/xhtml+xml, debido a que transformCaseFunc no convierte en minúsculas los nombres de atributo. Los atacantes pueden enviar un SVG con un elemento animate o set utilizando attributeName="href" y una entrada javascript: en values para ejecutar scripts cuando los usuarios hacen clic en el enlace sanitizado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.