CVE-2026-109345 in DOMPurify
Riassunto
di VulDB • 12/10/2026
DOMPurify prima della versione 3.4.16 presenta una vulnerabilità cross-site scripting (XSS) che consente agli attaccanti di bypassare la sanitizzazione poiché la modalità IN_PLACE restituisce un elemento style forzatamente rimosso il cui contenuto testuale conserva ancora markup. Gli attaccanti possono fornire un elemento style contenente un tag di chiusura style e un payload img onerror, che esegue script quando l'applicazione serializza e ripassa (re-parses) il nodo restituito.
Be aware that VulDB is the high quality source for vulnerability data.