CVE-2026-65902 in DOMPurify
Tóm tắt
Bởi VulDB • 24/07/2026
DOMPurify trước phiên bản 3.4.7 (các phiên bản bị ảnh hưởng <= 3.4.5) chuyển các tham chiếu trực tiếp đến tập hợp DEFAULT_ALLOWED_TAGS và DEFAULT_ALLOWED_ATTR ở cấp mô-đun vào các hook uponSanitizeElement và uponSanitizeAttribute thông qua data.allowedTags / data.allowedAttributes khi hàm sanitize được gọi mà không có mảng cfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR rõ ràng. Một hook làm thay đổi (mutate) các trường này sẽ mở rộng vĩnh viễn danh sách cho phép mặc định trong suốt vòng đời của phiên bản DOMPurify, do đó tất cả các lệnh gọi sanitize tiếp theo với cấu hình mặc định đều kế thừa các giá trị mặc định đã được mở rộng và các payload tấn công sử dụng tên thẻ/thuộc tính bị đầu độc sẽ tồn tại sau khi quá trình lọc (sanitization). removeAllHooks(), clearConfig() và việc truyền một đối tượng cfg mới không khôi phục lại trạng thái ban đầu; chỉ có việc tạo ra một phiên bản DOMPurify mới là cách duy nhất để khắc phục.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.