CVE-2026-41238
Açıklama
DOMPurify; HTML, MathML ve SVG için yalnızca DOM tabanlı bir siteler arası betik çalıştırma (XSS) temizleyicisidir. 3.0.1 ile 3.3.3 arasındaki sürümler, prototip kirliliği (prototype pollution) tabanlı bir XSS atlatma zafiyetine sahiptir. Bir uygulama, varsayılan yapılandırmayla (`CUSTOM_ELEMENT_HANDLING` seçeneği olmadan) `DOMPurify.sanitize()` kullandığında, önceden gerçekleşmiş bir prototip kirliliği aracı (gadget), `Object.prototype` içerisine izin verici `tagNameCheck` ve `attributeNameCheck` regex değerleri enjekte edebilir; bu durum DOMPurify'ın olay işleyicileri de dahil olmak üzere rastgele özniteliklere sahip rastgele özel öğelerin temizleme işleminden geçmesine neden olur. Sürüm 3.4.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- dompurify3.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dompurifynpm | 3.0.1 ≤ v < 3.4.0 | 3.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.