PT-2026-34604 · Dompurify · Dompurify

Kodareef5 · Publicado 2026-04-22 · Atualizado 2026-05-29 · CVE-2026-41240

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions DOMPurify versões anteriores a 3.4.0

Description Existe uma inconsistência entre o processamento de FORBID TAGS e FORBID ATTR quando a configuração ADD TAGS baseada em função é utilizada. Especificamente, quando a função EXTRA ELEMENT HANDLING.tagCheck retorna verdadeiro, ocorre uma avaliação de curto-circuito que ignora a verificação de FORBID TAGS. Isso permite que elementos proibidos, como iframe, object, embed e form, ignorem a sanitização e permaneçam na saída com seus atributos intactos.

Recommendations Atualizar para a versão 3.4.0.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-183

CWE-79

Identificadores relacionados

CLEANSTART-2026-BE61221

CLEANSTART-2026-LC05413

CVE-2026-41240

GHSA-H7MW-GPVR-XQ4M

OPENSUSE-SU-2026:10888-1

Produtos afetados

Dompurify

Referências · 214

• 🔥 https://github.com/cure53/DOMPurify/security/advisories/GHSA-h7mw-gpvr-xq4m · Exploit
• https://github.com/cure53/DOMPurify · Nota
• https://github.com/cure53/DOMPurify/releases/tag/3.4.0 · Nota
• https://github.com/cure53/DOMPurify/commit/c361baa18dbdcb3344a41110f4c48ad85bf48f80 · Correção
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-BE61221.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-LC05413.json · Nota
• https://osv.dev/vulnerability/ghsa-3w6x-2g7m-8v23 · Nota
• https://osv.dev/vulnerability/ghsa-5pq2-9x2x-5p6w · Nota
• https://osv.dev/vulnerability/CVE-2026-41239 · Nota
• https://osv.dev/vulnerability/ghsa-f886-m6hf-6m8v · Nota
• https://osv.dev/vulnerability/CVE-2026-42040 · Nota
• https://osv.dev/vulnerability/ghsa-37qj-frw5-hhjh · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29087 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-42036 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-44457 · Nota de Segurança