PT-2026-22765 · Dompurify · Dompurify

Cure53 · Publicado 2026-03-03 · Atualizado 2026-06-02 · CVE-2026-0540

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas DOMPurify versões 2.5.3 a 2.5.8 DOMPurify versões 3.1.3 a 3.3.1

Descrição DOMPurify contém uma vulnerabilidade de cross-site scripting que permite que atacantes contornem a sanitização de atributos. Este contorno é obtido explorando elementos rawtext ausentes (noscript, xmp, noembed, noframes, iframe) dentro da expressão regular SAFE FOR XML. Atacantes podem injetar payloads, como , em valores de atributos. Quando a saída sanitizada é inserida nesses contextos rawtext não protegidos, o payload JavaScript pode ser executado.

Recomendações Atualize para uma versão do DOMPurify que inclua o commit 729097f.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CLEANSTART-2026-LC05413

CVE-2026-0540

GHSA-V2WJ-7WPQ-C8VV

OPENSUSE-SU-2026:10599-1

Produtos afetados

Dompurify

Referências · 156

• https://github.com/cure53/DOMPurify · Nota
• https://github.com/cure53/DOMPurify/releases/tag/3.3.2 · Nota
• https://github.com/cure53/DOMPurify/commit/302b51de22535cc90235472c52e3401bedd46f80 · Correção
• https://github.com/cure53/DOMPurify/commit/fca0a938b4261ddc9c0293a289935a9029c049f5 · Correção
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-LC05413.json · Nota
• https://osv.dev/vulnerability/ghsa-q3j6-qgpj-74h6 · Nota
• https://osv.dev/vulnerability/CVE-2026-27904 · Nota
• https://osv.dev/vulnerability/ghsa-pf86-5x62-jrwf · Nota
• https://osv.dev/vulnerability/ghsa-83g3-92jg-28cx · Nota
• https://vulncheck.com/advisories/dompurify-xss-via-missing-rawtext-elements-in-safe-for-xml · Nota
• https://twitter.com/CVEnew/status/2028900643771933059 · Publicação no Twitter
• https://osv.dev/vulnerability/ghsa-jp2q-39xq-3w4g · Nota
• https://osv.dev/vulnerability/CVE-2026-42035 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-25639 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-42035 · Nota de Segurança