PT-2026-22765
CVE-2026-0540
·
Publicado
2026-03-03
·
Atualizado
2026-10-28
Descrição por
CVSS 3.1
6.1
MédiaMétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Nome do Software Vulnerável e Versões Afetadas
DOMPurify versões 2.5.3 a 2.5.8
DOMPurify versões 3.1.3 a 3.3.1
Descrição
DOMPurify contém uma vulnerabilidade de cross-site scripting que permite que atacantes contornem a sanitização de atributos. Este contorno é obtido explorando elementos rawtext ausentes (noscript, xmp, noembed, noframes, iframe) dentro da expressão regular SAFE FOR XML. Atacantes podem injetar payloads, como 
, em valores de atributos. Quando a saída sanitizada é inserida nesses contextos rawtext não protegidos, o payload JavaScript pode ser executado.
Recomendações
Atualize para uma versão do DOMPurify que inclua o commit 729097f.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾