CVE-2026-41240
CVE-2026-41240 · DOMPurify: FORBID_TAGS bypassed by function-based ADD_TAGS predicate (asymmetry with FORBID_ATTR fix)
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
DOMPurify is a DOM-only cross-site scripting sanitizer for HTML, MathML, and SVG. Versions prior to 3.4.0 have an inconsistency between FORBID_TAGS and FORBID_ATTR handling when function-based ADD_TAGS is used. Commit c361baa added an early exit for FORBID_ATTR at line 1214. The same fix was not applied to FORBID_TAGS. At line 1118-1123, when EXTRA_ELEMENT_HANDLING.tagCheck returns true, the short-circuit evaluation skips the FORBID_TAGS check entirely. This allows forbidden elements to survive sanitization with their attributes intact. Version 3.4.0 patches the issue.
CVSS 6.0 · Mittel · EPSS 0,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · node
Betroffene Produkte und Versionen
dompurify
- Softwareversionen
- < 3.4.0: Betroffen
Keine Korrektur veröffentlicht
node-dompurify Debian:12
- Softwareversionen
- 2.4.1+dfsg+~2.4.0-1
- 2.4.1+dfsg+~2.4.0-2
- 2.4.1+dfsg+~2.4.0-2+deb12u1
- 3.0.9+dfsg+~3.0.5-1
- 3.1.6+dfsg+~3.0.5-1
- 3.1.7+dfsg+~3.0.5-1
- 3.1.7+dfsg+~3.0.5-2
- 3.2.5+dfsg-1
- 3.3.2+dfsg-1
- 3.3.3+dfsg-1
- 3.3.3+dfsg-2
- 3.4.1+dfsg-1
- 3.4.12+dfsg-1
- 3.4.13+dfsg-1
- 3.4.13+dfsg-2
- 3.4.16+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-dompurify Debian:13
- Softwareversionen
- 3.1.7+dfsg+~3.0.5-2
- 3.2.5+dfsg-1
- 3.3.2+dfsg-1
- 3.3.3+dfsg-1
- 3.3.3+dfsg-2
- 3.4.1+dfsg-1
- 3.4.12+dfsg-1
- 3.4.13+dfsg-1
- 3.4.13+dfsg-2
- 3.4.16+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-dompurify Debian:14
- Softwareversionen
- 3.1.7+dfsg+~3.0.5-2
- 3.2.5+dfsg-1
- 3.3.2+dfsg-1
- 3.3.3+dfsg-1
- 3.3.3+dfsg-2
- Betroffene Versionsbereiche
- ECOSYSTEM: < 3.4.1+dfsg-1
Auf 3.4.1+dfsg-1 aktualisieren
dompurify npm
- Betroffene Versionsbereiche
- SEMVER: < 3.4.0
Auf 3.4.0 aktualisieren
node-dompurify Ubuntu:22.04:LTS
- Softwareversionen
- 2.3.0+dfsg-2
- 2.3.3+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-dompurify Ubuntu:24.04:LTS
- Softwareversionen
- 2.4.1+dfsg+~2.4.0-1
- 3.0.9+dfsg+~3.0.5-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-dompurify Ubuntu:25.10
- Softwareversionen
- 3.1.7+dfsg+~3.0.5-1
- 3.1.7+dfsg+~3.0.5-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-dompurify Ubuntu:26.10
- Softwareversionen
- 3.3.3+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- 3.4.12+dfsg-1
- 3.4.13+dfsg-1
- 3.4.13+dfsg-2
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht
node-dompurify Ubuntu:26.04:LTS
- Softwareversionen
- 3.1.7+dfsg+~3.0.5-2
- 3.3.3+dfsg-1
- Betroffene Versionsbereiche
- ECOSYSTEM: (−∞, +∞)
Keine Korrektur veröffentlicht