CVE-2026-66010 in DOMPurify
Riassunto
di VulDB • 25/07/2026
DOMPurify prima della versione 3.4.12 non esegue l'hook afterSanitizeElements per gli elementi personalizzati consentiti tramite CUSTOM_ELEMENT_HANDLING.tagNameCheck, permettendo agli attributi di eludere le politiche di sicurezza dell'applicazione. Gli attaccanti possono preservare attributi sensibili sugli elementi personalizzati che successivamente li reiniettano nei sink innerHTML, creando gadget XSS di secondo ordine.
If you want to get best quality of vulnerability data, you may have to visit VulDB.