CVE-2026-66010 in DOMPurify

摘要

由 VulDB • 2026-07-24

在 3.4.12 版本之前的 DOMPurify 未对通过 CUSTOM_ELEMENT_HANDLING.tagNameCheck 允许自定义元素执行 afterSanitizeElements 钩子，导致属性能够绕过应用程序安全策略。攻击者可以保留自定义元素上的敏感属性，随后将其重新注入到 innerHTML 接收器中，从而创建二级 XSS（跨站脚本）利用工具。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: VulnCheck
• 预定: 2026-07-23
• 披露: 2026-07-24
• 管理: 已接受
• 条目: VDB-382908
• CPE: 准备好
• CWE: CWE-79 (已确认)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-66010
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-66010
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-66010/