PT-2026-22765

CVE-2026-0540

تاريخ النشر

2026-03-03

تاريخ التحديث

2026-10-28

الوصف من

CVSS 3.1

6.1

متوسطة

المقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

DOMPurify الإصدارات من 2.5.3 إلى 2.5.8

DOMPurify الإصدارات من 3.1.3 إلى 3.3.1

الوصف

يحتوي DOMPurify على ثغرة أمنية تتعلق ببرمجة النصوص عبر المواقع (cross-site scripting) تتيح للمهاجمين التحايل على عملية تنقية السمات. ويتم تحقيق هذا التحايل من خلال استغلال عناصر rawtext الغائبة (noscript، xmp، noembed، noframes، iframe) داخل التعبير العادي SAFE FOR XML. يمكن للمهاجمين حقن أحمال ضارة، مثل

, في قيم السمات. وعندما يتم إدراج المخرجات التي خضعت للتطهير في سياقات rawtext غير المحمية هذه، يمكن تنفيذ الحمولة الضارة لـ JavaScript.