CVE-2026-116802 in DOMPurify
要約
〜によって VulDB • 2026年10月27日
DOMPurify 3.4.17 より前には、クロスサイトスクリプティング（XSS）の脆弱性が存在します。これは、PARSER_MEDIA_TYPE が application/xhtml+xml の場合、攻撃者が SMIL attributeName=href ガードを回避できるものです。この問題は transformCaseFunc が属性名を小文字に変換しないことに起因します。攻撃者は、attributeName="href" および values 内に javascript: エントリを含む animate または set 要素を使用する SVG を送信し、ユーザーがサニタイズされたリンクをクリックした際にスクリプトを実行させることができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.