CVE-2026-65898
Yüksək
Təsvir
3.4.11 versiyasından əvvəlki DOMPurify, setConfig() funksiyası uponSanitizeAttribute hook-u ilə istifadə edildikdə ALLOWED_ATTR icazə siyahısını klonlamağı təmin etmir və bu, hook-a ortaq icazə siyahısını daimi olaraq dəyişdirməyə imkan verir. Hücumçular etibarlı elementlər üçün onerror kimi təhlükəli atributlara şərti şəkildə icazə verən bir hook qeydiyyatdan keçirə bilər, daha sonra isə çirkləndirilmiş icazə siyahısını miras alan və hadisə idarəedicilərini stored XSS kimi icra edən etibarsız məzmun göndərə bilərlər.
CiddilikYüksək
CVSS7.2
İstismar ehtimalı—
MəhsulCure53 Dompurify
Dərc23 iyl 2026
İlk görülmə23 iyl 2026
Zəiflik növüCWE-79Saytlararası skript (XSS)
Necə düzəltmək olar
Yeniləyin
- cure53 dompurify3.4.11 və ya daha yeni versiya
- dompurify3.4.11 və ya daha yeni versiya
İstehsalçı bildirişləri
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cure53 dompurify | v < 3.4.11 | 3.4.11 |
| dompurifynpm | v < 3.4.11 | 3.4.11 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.