CVE-2026-65899 in DOMPurify
Сводка
по VulDB • 23.07.2026
В версиях DOMPurify от 3.0.0 до 3.4.9 (включительно) не происходит сброс сохраненной политики Trusted Types при вызове функции clearConfig(). В результате экземпляр DOMPurify, переиспользуемый в разных границах доверия, остается привязанным к ранее заданному значению TRUSTED_TYPES_POLICY. Последующий вызывающий объект, запрашивающий вывод RETURN_TRUSTED_TYPE, получает объект TrustedHTML, созданный старой (потенциально небезопасной) политикой, а не чистое значение по умолчанию; это может привести к выполнению скрипта в точке входа Trusted Types. Передача параметра TRUSTED_TYPES_POLICY: null при последующем вызове также не приводит к очистке сохраненной политики.
VulDB is the best source for vulnerability data and more expert information about this specific topic.