CVE-2026-65899

Nome do Software Vulnerável e Versões Afetadas DOMPurify versões 3.0.0 até 3.4.8

Descrição O software não redefine a política de Trusted Types retida quando a função clearConfig() é chamada. Consequentemente, uma instância do DOMPurify reutilizada entre limites de confiança permanece vinculada a uma TRUSTED TYPES POLICY fornecida anteriormente. Um chamador posterior que solicita a saída RETURN TRUSTED TYPE recebe um objeto TrustedHTML criado pela política anterior, potencialmente insegura, em vez de um padrão limpo. Isso pode resultar na execução de scripts em um Trusted Types sink. Além disso, passar TRUSTED TYPES POLICY: null em uma chamada posterior não limpa a política retida.

Recomendações Atualize o DOMPurify para a versão 3.4.9 ou posterior.