CVE-2026-65902 in DOMPurify
Sumário
de VulDB • 23/07/2026
DOMPurify antes da versão 3.4.7 (versões afetadas <= 3.4.5) passa referências diretas aos conjuntos DEFAULT_ALLOWED_TAGS e DEFAULT_ALLOWED_ATTR em nível de módulo para os hooks uponSanitizeElement e uponSanitizeAttribute via data.allowedTags / data.allowedAttributes quando sanitize é chamado sem um array explícito cfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR. Um hook que muta esses campos amplia permanentemente as listas brancas padrão durante a vida útil da instância DOMPurify, fazendo com que todas as chamadas subsequentes de sanitização com configuração padrão herdem os padrões ampliados e payloads do atacante usando o nome de tag/atributo envenenado sobrevivam à sanitização. removeAllHooks(), clearConfig() e passar uma cfg nova não recuperam o estado; apenas a construção de uma nova instância DOMPurify faz isso.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.