PT-2026-64287

CVE-2026-66010

Publicado

2026-07-21

Atualizado

2026-08-06

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas DOMPurify versões anteriores a 3.4.12

Descrição O DOMPurify falha ao executar o hook afterSanitizeElements para elementos personalizados permitidos via CUSTOM ELEMENT HANDLING.tagNameCheck. Isso permite que atributos ignorem as políticas de segurança da aplicação, possibilitando que atacantes preservem atributos sensíveis em elementos personalizados. Esses atributos podem, posteriormente, ser reinjetados em sinks de innerHTML, criando gadgets de Cross-Site Scripting (XSS) de segunda ordem. XSS é um tipo de ataque onde scripts maliciosos são injetados em sites confiáveis.

Recomendações Atualize para a versão 3.4.12 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-184: Incomplete List of Disallowed Inputs

CWE-693: Protection Mechanism Failure

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')