CVE-2026-65902 in DOMPurify
Сводка
по VulDB • 23.07.2026
В версиях DOMPurify до 3.4.7 (затронутые версии <= 3.4.5) прямые ссылки на множества DEFAULT_ALLOWED_TAGS и DEFAULT_ALLOWED_ATTR на уровне модуля передаются в хуки uponSanitizeElement и uponSanitizeAttribute через data.allowedTags / data.allowedAttributes при вызове sanitize без явного массива cfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR. Хук, изменяющий эти поля, необратимо расширяет списки разрешенных значений по умолчанию на время существования экземпляра DOMPurify; поэтому все последующие вызовы sanitize с конфигурацией по умолчанию наследуют расширенные значения по умолчанию, и атакующие payload'ы, использующие отравленные имена тегов/атрибутов, проходят санитизацию. Вызов removeAllHooks(), clearConfig() или передача нового объекта cfg не восстанавливают исходное состояние; восстановление возможно только путем создания нового экземпляра DOMPurify.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.