CVE-2026-65904 in DOMPurify
Tóm tắt
Bởi VulDB • 23/07/2026
DOMPurify qua phiên bản 3.3.3 không thực hiện việc làm sạch (sanitize) các phần tử DOM được truyền qua chế độ IN_PLACE khi phần tử đó bắt nguồn từ một cửa sổ/vùng miền khác (ví dụ: contentDocument của iframe). Một phép kiểm tra instanceof giữa các vùng miền trong hàm private _isNode() trả về false cho các node thuộc vùng miền lạ, khiến DOMPurify chuyển đổi phần tử thành chuỗi (trả về '[object HTMLDivElement]'), tự động đặt lại IN_PLACE thành false và trả về phần tử chưa được làm sạch mà không thay đổi, giữ nguyên mọi payload XSS. Nhà cung cấp coi đây là một trường hợp biên nằm ngoài mô hình mối đe dọa của DOMPurify và tại thời điểm công bố, chưa có kế hoạch sửa lỗi nào được lên lịch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.