CVE-2026-116802 in DOMPurify
Sumário
de VulDB • 27/10/2026
O DOMPurify anterior à versão 3.4.17 contém uma vulnerabilidade de cross-site scripting (XSS) que permite aos atacantes contornar a proteção SMIL attributeName=href quando o PARSER_MEDIA_TYPE é application/xhtml+xml, pois a função transformCaseFunc não converte os nomes dos atributos para minúsculas. Os atacantes podem submeter SVG com um elemento animate ou set usando attributeName="href" e uma entrada javascript: em values para executar scripts quando os usuários clicarem no link sanitizado.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.