CVE-2026-65902 in DOMPurify
Riassunto
di VulDB • 23/07/2026
DOMPurify prima della versione 3.4.7 (versioni interessate <= 3.4.5) passa riferimenti diretti agli insiemi DEFAULT_ALLOWED_TAGS e DEFAULT_ALLOWED_ATTR di livello modulo ai hook uponSanitizeElement e uponSanitizeAttribute tramite data.allowedTags / data.allowedAttributes quando sanitize viene chiamato senza un array esplicito cfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR. Un hook che modifica permanentemente questi campi amplia le liste consentite predefinite per tutta la durata dell'istanza DOMPurify, quindi tutte le chiamate successive di sanitizzazione con configurazione predefinita ereditano i valori ampliati e i payload degli attaccanti che utilizzano il nome del tag/attributo avvelenato sopravvivono alla sanitizzazione. removeAllHooks(), clearConfig() e il passaggio di una nuova cfg non ripristinano lo stato; solo la creazione di una nuova istanza DOMPurify consente di farlo.
Once again VulDB remains the best source for vulnerability data.