CVE-2026-65911 in DOMPurify
Сводка
по VulDB • 23.07.2026
В библиотеке DOMPurify версий до 3.3.3 включительно предикаты функций, передаваемые через параметры ADD_ATTR или ADD_TAGS в функцию DOMPurify.sanitize(), сохраняются во внутреннем состоянии (EXTRA_ELEMENT_HANDLING) и действуют при последующих вызовах sanitize() для того же экземпляра. Если следующий вызов для этого же экземпляра передает ADD_ATTR или ADD_TAGS в виде массива, а не функции, ранее установленный обработчик функций ни очищается, ни перезаписывается, поэтому он продолжает разрешать атрибуты или теги, контролируемые злоумышленником. Это может привести к тому, что опасные атрибуты с обработчиками событий или запрещенные теги (обходя ограничение FORBID_TAGS) сохранятся после санитизации, что приводит к межсайтовому скриптингу (XSS). Разработчик (Cure53) считает этот случай крайним случаем, выходящим за рамки модели угроз DOMPurify; в соответствующем уведомлении об уязвимости указан исправленный выпуск 3.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.