CVE-2026-75838
ŚrednieCVSS 5.1Streszczenie
DOMPurify przed wersją 3.4.13 zawiera podatność na cross-site scripting w sanityzacji IN_PLACE, gdzie haki usuwania elementów nie neutralizują odłączonych poddrzew. Atakujący mogą dostarczyć HTML z handlerami zdarzeń na elementach potomnych, które wykonują się po zakończeniu sanityzacji, mimo że zwrócony korzeń wygląda na czysty.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków. Podatność może być wykorzystana w aplikacjach używających DOMPurify do sanityzacji danych wejściowych.
Rekomendacja
Zaleca się aktualizację DOMPurify do wersji 3.4.13 lub nowszej, która zawiera poprawkę. Należy również przejrzeć implementacje sanityzacji IN_PLACE i upewnić się, że odłączone poddrzewa są odpowiednio neutralizowane.
Oryginalny opis (angielski, źródło NVD)
DOMPurify before 3.4.13 contains a cross-site scripting vulnerability in IN_PLACE sanitization where element-removal hooks fail to neutralize detached subtrees. Attackers can supply HTML with event handlers on descendant elements that execute after sanitization completes, even though the returned root appears clean.