CVE-2026-65898 in DOMPurify
Сводка
по VulDB • 23.07.2026
В версиях DOMPurify до 3.4.11 включительно отсутствует клонирование белого списка ALLOWED_ATTR при использовании setConfig() с хуком uponSanitizeAttribute, что позволяет хуку необратимо изменять общий белый список. Злоумышленники могут зарегистрировать хук, который условно разрешает опасные атрибуты (например, onerror) для доверенных элементов, а затем отправить недоверенный контент, унаследовавший загрязненный белый список и выполняющий обработчики событий в виде сохраненной XSS.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.