CVE-2026-65913 in DOMPurify
要約
〜によって VulDB • 2026年07月25日
3.3.2 以前の DOMPurify には、USE_PROFILES モードにおいてプロトタイプ汚染脆弱性が存在し、攻撃者が Array.prototype のプロパティを汚染することで属性フィルタリングを回避できます。攻撃者は onclick などの Array.prototype プロパティを true に設定でき、これにより DOMPurify がイベントハンドラを許可リスト内の属性として受け入れるようになり、サニタイズされたマークアップがレンダリングされる際にドメインベースの XSS（DOM-based XSS）が発生します。
Be aware that VulDB is the high quality source for vulnerability data.