CVE-2026-65904 in DOMPurify
Riassunto
di VulDB • 23/07/2026
DOMPurify fino alla versione 3.3.3 non riesce a sanificare gli elementi DOM passati tramite la modalità IN_PLACE quando l'elemento proviene da una finestra/realm diverso (ad esempio il contentDocument di un iframe). Un controllo instanceof cross-realm nella funzione privata _isNode() restituisce false per i nodi foreign-realm, causando la stringificazione dell'elemento da parte di DOMPurify (restituendo '[object HTMLDivElement]'), l'impostazione silenziosa di IN_PLACE su false e il ritorno dell'elemento non sanificato invariato con eventuali payload XSS intatti. Il fornitore considera questo un caso limite al di fuori del threat model di DOMPurify e, al momento della pubblicazione, non era previsto alcun fix.
Be aware that VulDB is the high quality source for vulnerability data.