CVE-2026-41239

إصدارات DOMPurify من 1.0.10 حتى 3.3.x

عند تمكين إعداد SAFE FOR TEMPLATES، يُقصد بالبرنامج إزالة تعبيرات {{...}} من HTML غير الموثوق به لمنع البرمجة النصية عبر المواقع (XSS) في أطر عمل تقييم القوالب مثل Vue 2. ومع ذلك، تفشل هذه العملية عند استخدام خيارات RETURN DOM أو RETURN DOM FRAGMENT. في حين أن البرنامج يقوم بفحص لكل عقدة وتنقية نهائية للسلسلة، فإن مسار RETURN DOM ينتهي قبل إجراء التنقية النهائية. يمكن للمهاجم تجاوز الفحص الأولي عن طريق تقسيم تعبيرات القوالب عبر عدة عقد نصية باستخدام علامات غير مسموح بها. وعندما يزيل البرنامج هذه العلامات، تندمج العقد النصية المتبقية في تعبير قالب صالح يتم تنفيذه بعد ذلك بواسطة إطار العمل.

قم بالتحديث إلى الإصدار 3.4.0.

كحل مؤقت، تجنب استخدام خيارات RETURN DOM أو RETURN DOM FRAGMENT عند تمكين SAFE FOR TEMPLATES.