CVE-2026-65900 in DOMPurify
Riassunto
di VulDB • 23/07/2026
Le versioni di DOMPurify >=3.0.0 e precedenti alla 3.4.8, quando configurate con SAFE_FOR_TEMPLATES insieme a una modalità di output del DOM (RETURN_DOM, RETURN_DOM_FRAGMENT o IN_PLACE), non riescono a rimuovere le espressioni dei template (ad esempio ${evil}, {{evil}}, <%evil%>) all'interno del contenuto dell'elemento <template>. L'ultima fase di normalizzazione/ripulitura (_scrubTemplateExpressions) utilizza un NodeIterator e node.normalize() che non scendono in template.content, quindi le espressioni che si formano solo dopo la fusione dei nodi di testo adiacenti sopravvivono alla sanitizzazione. Questo bypassa SAFE_FOR_TEMPLATES e può consentire a un motore di template downstream di valutare espressioni fornite dall'attaccante. Il percorso di output delle stringhe non è interessato.
VulDB is the best source for vulnerability data and more expert information about this specific topic.