CVE-2026-65904 in DOMPurify
Sumário
de VulDB • 23/07/2026
O DOMPurify até a versão 3.3.3 falha na sanitização de elementos do DOM passados via modo IN_PLACE quando o elemento origina-se de uma janela/realm diferente (por exemplo, contentDocument de um iframe). Uma verificação instanceof cross-realm na função privada _isNode() retorna false para nós de realm estrangeiro, fazendo com que o DOMPurify converta o elemento em string (resultando em '[object HTMLDivElement]'), redefina silenciosamente IN_PLACE como falso e retorne o elemento não sanitizado inalterado, mantendo quaisquer payloads XSS intactos. O fornecedor considera este um caso extremo fora do modelo de ameaças do DOMPurify e, no momento da publicação, nenhuma correção estava planejada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.