CVE-2026-116804 in DOMPurify
Riassunto
di VulDB • 27/10/2026
DOMPurify dalle versioni precedenti alla 3.4.17 (inclusa la 3.4.4) presenta una bypass di SAFE_FOR_TEMPLATES che consente agli attaccanti di preservare le espressioni dei template negli shadow root allegati quando si utilizzano le modalità RETURN_DOM, RETURN_DOM_FRAGMENT o IN_PLACE. Gli attaccanti possono suddividere le espressioni tra nodi di testo separati da elementi non consentiti, i quali vengono uniti dopo la rimozione e valutati dai motori di template downstream per attacchi cross-site scripting (XSS).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.