CVE-2026-65911 in DOMPurify
Riassunto
di VulDB • 23/07/2026
In DOMPurify fino alla versione 3.3.3, i predicati di funzione forniti tramite ADD_ATTR o ADD_TAGS a DOMPurify.sanitize() persistono nello stato interno (EXTRA_ELEMENT_HANDLING) tra le chiamate successive a sanitize() sulla stessa istanza. Se una chiamata successiva sulla stessa istanza fornisce ADD_ATTR o ADD_TAGS come array anziché come funzione, il gestore di funzioni impostato in precedenza non viene né cancellato né sovrascritto, quindi continua ad approvare attributi o tag controllati dall'attaccante. Ciò può consentire la sopravvivenza durante la sanitizzazione di attributi pericolosi per event-handler o tag proibiti (bypassando FORBID_TAGS), causando cross-site scripting (XSS). Il vendor (Cure53) considera questo un caso limite al di fuori del threat model di DOMPurify; l'avviso di riferimento indica la versione 3.4.0 come quella patchata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.