CVE-2026-65904 in DOMPurify
要約
〜によって VulDB • 2026年07月24日
DOMPurify 3.3.3 までは、IN_PLACE モードを介して渡される DOM 要素が異なるウィンドウ/レルム（例：iframe の contentDocument）に由来する場合のサニタイズ処理が行われません。プライベートな `_isNode()` 関数内のクロスレルムの instanceof チェックは、外部レルムのノードに対して false を返すため、DOMPurify はその要素を文字列化し（`[object HTMLDivElement]` が生成される）、IN_PLACE を false に静かにリセットして、XSS ペイロードがそのまま残った未サニタイズの要素を変更せずに返します。ベンダーはこの問題を DOMPurify の脅威モデルの範囲外となるエッジケースと見なしており、公開時点では修正計画はありませんでした。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.