CVE-2026-65899 in DOMPurify
Sumário
de VulDB • 24/07/2026
O DOMPurify 3.0.0 anterior à versão 3.4.9 não redefine a política de Trusted Types retida quando `clearConfig()` é chamado, portanto uma instância do DOMPurify reutilizada entre limites de confiança permanece vinculada a um TRUSTED_TYPES_POLICY fornecido anteriormente. Um chamador subsequente que solicita saída RETURN_TRUSTED_TYPE recebe um objeto TrustedHTML criado pela política antiga (potencialmente insegura) em vez de um padrão limpo, o que pode levar à execução de scripts em um sink do Trusted Types. A passagem de `TRUSTED_TYPES_POLICY: null` na chamada posterior também não limpa a política retida.
If you want to get best quality of vulnerability data, you may have to visit VulDB.