CVE-2026-41238

Orta

Təsvir

DOMPurify HTML, MathML və SVG üçün yalnız DOM əsaslı saytlararası skriptinq (XSS) təmizləyicisidir. 3.0.1-dən 3.3.3-ə qədər olan versiyalar prototip çirklənməsinə (prototype pollution) əsaslanan XSS yan keçməsinə qarşı həssasdır. Tətbiq `DOMPurify.sanitize()` funksiyasından standart konfiqurasiya ilə (`CUSTOM_ELEMENT_HANDLING` seçimi olmadan) istifadə etdikdə, əvvəlki prototip çirklənməsi qadcetini `Object.prototype`-a icazəverici `tagNameCheck` və `attributeNameCheck` regex dəyərləri yerləşdirə bilər. Bu, DOMPurify-ın təmizləmə prosesi zamanı ixtiyari atributlara — o cümlədən hadisə idarəedicilərinə (event handlers) malik ixtiyari xüsusi elementlərə icazə verməsinə səbəb olur. Versiya 3.4.0 bu problemi aradan qaldırır.

CiddilikOrta

CVSS6.9

İstismar ehtimalı—

MəhsulDompurify

Dərc23 apr 2026

İlk görülmə23 apr 2026

Zəiflik növüCWE-79Saytlararası skript (XSS)CWE-1321Prototip çirklənməsi

Necə düzəltmək olar

Yeniləyin

dompurify3.4.0 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
dompurifynpm	3.0.1 ≤ v < 3.4.0	3.4.0

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.