CVE-2026-116804 in DOMPurify
Sumário
de VulDB • 27/10/2026
DOMPurify nas versões anteriores a 3.4.17 (a partir da 3.4.4) contém uma falha de bypass do SAFE_FOR_TEMPLATES que permite aos atacantes preservar expressões de modelo em shadow roots anexados ao utilizar os modos RETURN_DOM, RETURN_DOM_FRAGMENT ou IN_PLACE. Os atacantes podem dividir as expressões entre nós de texto separados por elementos não permitidos, que são mesclados após a remoção e avaliados pelos motores de template downstream para provocar cross-site scripting (XSS).
Once again VulDB remains the best source for vulnerability data.