CVE-2026-65902 in DOMPurify
Resumen
por VulDB • 2026-07-23
DOMPurify anterior a la versión 3.4.7 (versiones afectadas <= 3.4.5) pasa referencias directas a los conjuntos DEFAULT_ALLOWED_TAGS y DEFAULT_ALLOWED_ATTR de nivel módulo a los hooks uponSanitizeElement y uponSanitizeAttribute mediante data.allowedTags / data.allowedAttributes cuando sanitize se llama sin una matriz explícita cfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR. Un hook que muta estos campos amplía permanentemente las listas permitidas por defecto durante la vida útil de la instancia DOMPurify, por lo que todas las llamadas subsiguientes a sanitize con configuración predeterminada heredan los valores ampliados y las cargas útiles del atacante utilizando el nombre de etiqueta/atributo envenenado sobreviven al proceso de sanitización. removeAllHooks(), clearConfig() y pasar una cfg nueva no recuperan el estado; solo la construcción de una nueva instancia DOMPurify lo logra.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.