DOMPurify contains a Cross-site Scripting vulnerability

TRUNG BÌNH 6.1CVE-2026-0540 · GHSA-v2wj-7wpq-c8vv · Công bố 03/03/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2026-0540 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng dompurify (cure53), dompurify.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.39%, cao hơn 32.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.5.9, 3.3.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
dompurify cure53	`≥ 2.5.3, ≤ 2.5.8≥ 3.1.3, ≤ 3.3.1`	Chưa có bản vá
dompurify npm	`≥ 2.5.3, < 2.5.9≥ 3.1.3, < 3.3.2`	`2.5.93.3.2`

Mô tả

DOMPurify 3.1.3 through 3.3.1 and 2.5.3 through 2.5.8, fixed in 2.5.9 and 3.3.2, contain a cross-site scripting vulnerability that allows attackers to bypass attribute sanitization by exploiting five missing rawtext elements (noscript, xmp, noembed, noframes, iframe) in the SAFE_FOR_XML regex. Attackers can include payloads like </noscript><img src=x onerror=alert(1)> in attribute values to execute JavaScript when sanitized output is placed inside these unprotected rawtext contexts.

Mô tả của NVD

DOMPurify 3.1.3 through 3.3.1 and 2.5.3 through 2.5.8, fixed in commit 2726c74, contain a cross-site scripting vulnerability that allows attackers to bypass attribute sanitization by exploiting five missing rawtext elements (noscript, xmp, noembed, noframes, iframe) in the SAFE_FOR_XML regex. Attackers can include payloads like </noscript><img src=x onerror=alert(1)> in attribute values to execute JavaScript when sanitized output is placed inside these unprotected rawtext contexts.