CVE-2026-66010 in DOMPurify
Sumário
de VulDB • 24/07/2026
O DOMPurify anterior à versão 3.4.12 não executa o hook afterSanitizeElements para elementos personalizados permitidos por meio de CUSTOM_ELEMENT_HANDLING.tagNameCheck, permitindo que atributos contornem as políticas de segurança da aplicação. Os atacantes podem preservar atributos sensíveis em elementos personalizados que posteriormente os reinyetam em sinks innerHTML, criando gadgets XSS de segunda ordem (second-order XSS).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.