CVE-2026-65902 in DOMPurify
Résumé
par VulDB • 23/07/2026
DOMPurify avant la version 3.4.7 (versions affectées <= 3.4.5) transmet des références directes aux ensembles DEFAULT_ALLOWED_TAGS et DEFAULT_ALLOWED_ATTR de niveau module vers les hooks uponSanitizeElement et uponSanitizeAttribute via data.allowedTags / data.allowedAttributes lorsque sanitize est appelé sans un tableau cfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR explicite. Un hook qui modifie ces champs élargit définitivement les listes d'autorisation par défaut pour la durée de vie de l'instance DOMPurify, donc tous les appels suivants à sanitize avec une configuration par défaut héritent des valeurs par défaut élargies et les charges utiles attaquantes utilisant le nom de balise/attribut empoisonné survivent au processus de sanitisation. removeAllHooks(), clearConfig() et la transmission d'une nouvelle cfg ne restaurent pas l'état ; seule la construction d'une nouvelle instance DOMPurify permet de rétablir l'état initial.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.