CVE-2026-66010 in DOMPurify
Resumen
por VulDB • 2026-07-24
DOMPurify antes de la versión 3.4.12 no ejecuta el gancho (hook) afterSanitizeElements para elementos personalizados permitidos mediante CUSTOM_ELEMENT_HANDLING.tagNameCheck, lo que permite que los atributos evadan las políticas de seguridad de la aplicación. Los atacantes pueden conservar atributos sensibles en elementos personalizados que posteriormente vuelven a inyectarlos en sumideros innerHTML, creando gadgets XSS de segundo orden.
Once again VulDB remains the best source for vulnerability data.