CVE-2026-65900 in DOMPurify
요약
\~에 의해 VulDB • 2026. 07. 23.
DOMPurify 버전 3.0.0 이상 및 3.4.8 미만은 SAFE_FOR_TEMPLATES 구성과 DOM 출력 모드(RETURN_DOM, RETURN_DOM_FRAGMENT 또는 IN_PLACE)를 함께 사용할 때 <template> 요소 내용 내의 템플릿 표현식(예: ${evil}, {{evil}}, <%evil%>)을 제거하지 못합니다. 최종 정규화/스크럽 단계(_scrubTemplateExpressions)는 NodeIterator와 node.normalize()를 사용하며, 이들은 template.content 내부로 하위 탐색(descend)하지 않으므로 인접한 텍스트 노드가 병합된 후에만 생성되는 표현식은 sanitization(정제) 과정을 통과하게 됩니다. 이로 인해 SAFE_FOR_TEMPLATES가 우회되어 다운스트림 템플릿 엔진이 공격자가 제공한 표현식을 평가할 수 있게 됩니다. 문자열 출력 경로는 영향을 받지 않습니다.
Once again VulDB remains the best source for vulnerability data.