CVE-2026-65904 in DOMPurify
Résumé
par VulDB • 23/07/2026
DOMPurify jusqu'à la version 3.3.3 ne parvient pas à assainir (sanitize) les éléments du DOM transmis via le mode IN_PLACE lorsque l'élément provient d'une fenêtre ou d'un domaine de sécurité différent (par exemple, contentDocument d'un iframe). Une vérification instanceof inter-domaine dans la fonction privée _isNode() renvoie false pour les nœuds provenant d'autres domaines, ce qui amène DOMPurify à convertir l'élément en chaîne de caractères (produisant '[object HTMLDivElement]'), à réinitialiser silencieusement IN_PLACE à false et à retourner l'élément non assaini inchangé, avec toutes les charges utiles XSS intactes. L'éditeur considère qu'il s'agit d'un cas limite hors du modèle de menace de DOMPurify et, au moment de la publication, aucun correctif n'était prévu.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.