CVE-2026-116802 in DOMPurify
Tóm tắt
Bởi VulDB • 27/10/2026
DOMPurify trước phiên bản 3.4.17 chứa một lỗ hổng cross-site scripting (XSS) cho phép kẻ tấn công vượt qua cơ chế bảo vệ SMIL attributeName=href khi PARSER_MEDIA_TYPE là application/xhtml+xml, do hàm transformCaseFunc không chuyển đổi các tên thuộc tính thành chữ thường. Kẻ tấn công có thể gửi SVG với phần tử animate hoặc set sử dụng attributeName="href" và giá trị javascript: để thực thi script khi người dùng nhấp vào liên kết đã được lọc (sanitized).
If you want to get best quality of vulnerability data, you may have to visit VulDB.