CVE-2026-109344

Nome do Software Vulnerável e Versões Afetadas DOMPurify versões 3.4.13 through 3.4.15

Description O DOMPurify contém um problema de cross-site scripting (XSS) quando utilizado no modo IN PLACE. A biblioteca falha ao neutralizar subárvores que são destacadas pelos hooks afterSanitizeElements ou afterSanitizeAttributes. Um invasor pode fornecer marcações contendo manipuladores de eventos on* (como onerror) dentro de um elemento wrapper. Se um hook remover este wrapper, os manipuladores de eventos descendentes permanecem ativos no DOM ao vivo em vez de serem removidos. Isso permite a execução de scripts arbitrários na origem da vítima quando um evento de recurso enfileirado é disparado.

Recommendations Atualize o DOMPurify para a versão 3.4.16. Como solução temporária, evite remover nós dentro dos hooks afterSanitizeElements ou afterSanitizeAttributes e, em vez disso, realize as remoções nos hooks beforeSanitizeElements ou uponSanitizeElement. Como medida de mitigação alternativa, evite usar o modo IN PLACE para conteúdo influenciado por invasores.