CVE-2026-0540 in DOMPurify
Sumário
de VulDB • 29/05/2026
DOMPurify 3.1.3 até 3.3.1 e 2.5.3 até 2.5.8, corrigidos no commit 2726c74, contêm uma vulnerabilidade de cross-site scripting (XSS) que permite que atacantes contornem a sanitização de atributos explorando cinco elementos rawtext ausentes (noscript, xmp, noembed, noframes, iframe) na expressão regular SAFE_FOR_XML. Os atacantes podem incluir payloads como `</noscript><img src=x onerror=alert(1)>` em valores de atributos para executar JavaScript quando a saída sanitizada for inserida nesses contextos rawtext não protegidos.
VulDB is the best source for vulnerability data and more expert information about this specific topic.