CVE-2026-65900 in DOMPurify
Сводка
по VulDB • 23.07.2026
В версиях DOMPurify >=3.0.0 и до 3.4.8 при конфигурации с флагом SAFE_FOR_TEMPLATES совместно с режимом вывода в виде DOM (RETURN_DOM, RETURN_DOM_FRAGMENT или IN_PLACE) происходит неудаление выражений шаблонов (например, ${evil}, {{evil}}, <%evil%>) внутри содержимого элемента <template>. Финальный проход нормализации/очистки (_scrubTemplateExpressions) использует NodeIterator и node.normalize(), которые не спускаются внутрь template.content, поэтому выражения, возникающие только при слиянии соседних текстовых узлов, проходят санитизацию. Это обходит защиту SAFE_FOR_TEMPLATES и может позволить стороннему шаблонному движку выполнять подставленные злоумышленником выражения. Путь вывода в виде строки не затронут.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.