CVE-2025-15599

Nome do Software Vulnerável e Versões Afetadas DOMPurify versões 2.5.3 a 2.5.8 DOMPurify versões 3.1.3 a 3.2.6

Descrição O DOMPurify contém uma vulnerabilidade de cross-site scripting que permite que atacantes contornem a sanitização de atributos. Isso ocorre devido à falta de validação do elemento rawtext do textarea na regex SAFE FOR XML. Atacantes podem incluir tags de fechamento rawtext, como , em valores de atributos para escapar de contextos rawtext e executar JavaScript quando a saída sanitizada é inserida dentro de elementos rawtext. O elemento textarea e seu atributo rawtext estão envolvidos nesse contorno.

Recomendações Atualize para a versão 3.2.7 do DOMPurify ou posterior. Para as versões 2.5.3 a 2.5.8, não há correção disponível; considere bibliotecas alternativas de sanitização.