p PatchFirst

CVE-2026-65914

CVE-2026-65914 · DOMPurify before 3.3.2 Mutation XSS via Re-Contextualization

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

DOMPurify before 3.3.2 contains a mutation-XSS vulnerability when sanitized HTML is reinserted into special parsing contexts using innerHTML with wrappers like script, xmp, iframe, noembed, noframes, or noscript. Attackers can craft payloads with closing sequences that break out of the wrapper context during reparsing, reactivating dangerous markup with event handlers to execute JavaScript.

CVSS 5.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • dompurify

    Версии
    • ≥ 0, < 3.3.2: Затронуто (semver)
    • 3.3.2: Не затронуто (semver)

    Обновитесь до 3.3.2

  • node-dompurify Debian:12

    Версии
    • 2.4.1+dfsg+~2.4.0-1
    • 2.4.1+dfsg+~2.4.0-2
    • 2.4.1+dfsg+~2.4.0-2+deb12u1
    • 3.0.9+dfsg+~3.0.5-1
    • 3.1.6+dfsg+~3.0.5-1
    • 3.1.7+dfsg+~3.0.5-1
    • 3.1.7+dfsg+~3.0.5-2
    • 3.2.5+dfsg-1
    • 3.3.2+dfsg-1
    • 3.3.3+dfsg-1
    • 3.3.3+dfsg-2
    • 3.4.1+dfsg-1
    • 3.4.12+dfsg-1
    • 3.4.13+dfsg-1
    • 3.4.13+dfsg-2
    • 3.4.16+dfsg-1
    • 3.4.2+dfsg-1
    • 3.4.5+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dompurify Debian:13

    Версии
    • 3.1.7+dfsg+~3.0.5-2
    • 3.2.5+dfsg-1
    • 3.3.2+dfsg-1
    • 3.3.3+dfsg-1
    • 3.3.3+dfsg-2
    • 3.4.1+dfsg-1
    • 3.4.12+dfsg-1
    • 3.4.13+dfsg-1
    • 3.4.13+dfsg-2
    • 3.4.16+dfsg-1
    • 3.4.2+dfsg-1
    • 3.4.5+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dompurify Debian:14

    Версии
    • 3.1.7+dfsg+~3.0.5-2
    • 3.2.5+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 3.3.2+dfsg-1

    Обновитесь до 3.3.2+dfsg-1

  • dompurify npm

    Затронутые диапазоны версий
    • SEMVER: < 3.3.2

    Обновитесь до 3.3.2

  • node-dompurify Ubuntu:22.04:LTS

    Версии
    • 2.3.0+dfsg-2
    • 2.3.3+dfsg-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • node-dompurify Ubuntu:24.04:LTS

    Версии
    • 2.4.1+dfsg+~2.4.0-1
    • 3.0.9+dfsg+~3.0.5-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →