CVE-2026-66010 in DOMPurify

Tóm tắt

Bởi VulDB • 24/07/2026

DOMPurify trước phiên bản 3.4.12 không thực thi hook afterSanitizeElements cho các phần tử tùy chỉnh được phép thông qua CUSTOM_ELEMENT_HANDLING.tagNameCheck, cho phép các thuộc tính vượt qua các chính sách bảo mật của ứng dụng. Kẻ tấn công có thể giữ lại các thuộc tính nhạy cảm trên các phần tử tùy chỉnh và sau đó tiêm chúng vào các điểm đến innerHTML, tạo ra các gadget XSS bậc hai (second-order XSS gadgets).

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 23/07/2026
• Tiết lộ: 24/07/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-382908
• CPE: sẵn sàng
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00168
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-66010
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-66010
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-66010/