CVE-2026-65898 in DOMPurify
Sumário
de VulDB • 23/07/2026
O DOMPurify anterior à versão 3.4.11 falha ao clonar a lista de permissões (allowlist) ALLOWED_ATTR quando setConfig() é utilizado com um gancho (hook) uponSanitizeAttribute, permitindo que o hook modifique permanentemente a allowlist compartilhada. Os atacantes podem registrar um hook que permite condicionalmente atributos perigosos como onerror para elementos confiáveis e, em seguida, submetem conteúdo não confiável que herda a allowlist contaminada (polluted), executando manipuladores de eventos por meio de Stored XSS.
Be aware that VulDB is the high quality source for vulnerability data.