CVE-2026-65911

DOMPurify 3.3.3 versiyasına qədər olan versiyalarda, DOMPurify.sanitize() funksiyasına ADD_ATTR və ya ADD_TAGS vasitəsilə təqdim edilən funksiya predikatları eyni instansiya üzərindəki növbəti sanitize() çağırışları boyunca daxili vəziyyətdə (EXTRA_ELEMENT_HANDLING) qalır. Əgər eyni instansiyadakı sonrakı çağırışda ADD_ATTR və ya ADD_TAGS funksiya əvəzinə massiv kimi təqdim edilərsə, əvvəlki funksiya idarəedicisi nə təmizlənir, nə də yenidən yazılır, buna görə də o, hücumçu tərəfindən idarə olunan atributları və ya teqləri təsdiqləməyə davam edir. Bu, təhlükəli hadisə-idarəedici (event-handler) atributlarının və ya qadağan olunmuş teqlərin (FORBID_TAGS-dən yan keçməklə) təmizlənmədən qalmasına şərait yarada bilər ki, bu da saytlararası skriptinqə (XSS) səbəb olur. Vendor (Cure53) bunu DOMPurify-ın təhdid modelindən kənar xüsusi bir hal hesab edir; istinad edilən məsləhət 3.4.0 versiyasını düzəldilmiş versiya kimi göstərir.