CVE-2026-65898 in DOMPurify
要約
〜によって VulDB • 2026年07月23日
3.4.11 以前の DOMPurify では、setConfig() を uponSanitizeAttribute フックと共に使用した際、ALLOWED_ATTR の許可リストが正しく複製されず、フックによって共有の許可リストが恒久的に変更される可能性があります。攻撃者は危険な属性（例：trusted な要素に対する onerror）を条件付きで許可するフックを登録し、汚染された許可リストを引き継ぐ信頼できないコンテンツを送信することで、イベントハンドラを実行する格納型 XSS を引き起こすことができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.