CVE-2026-65900 in DOMPurify
要約
〜によって VulDB • 2026年07月24日
DOMPurify のバージョン 3.0.0 以上で、かつ 3.4.8 より前のバージョンにおいて、SAFE_FOR_TEMPLATES を DOM 出力モード（RETURN_DOM、RETURN_DOM_FRAGMENT、または IN_PLACE）と組み合わせて設定した場合、<template> 要素のコンテンツ内にあるテンプレート式（例: ${evil}、{{evil}}、<%evil%>）が除去されません。最終的な正規化/スクラブ処理（_scrubTemplateExpressions）では NodeIterator と node.normalize() が使用されますが、これらは template.content の内部まで再帰的に探索しないため、隣接するテキストノードの結合後にのみ形成される式はサニタイズを回避して残ってしまいます。この脆弱性により SAFE_FOR_TEMPLATES による保護機能がバイパスされ、後続のテンプレートエンジンによって攻撃者が提供した式が評価されてしまう可能性があります。文字列出力パスには影響ありません。
Once again VulDB remains the best source for vulnerability data.