p PatchFirst

CVE-2026-49458

CVE-2026-49458 · DOMPurify: Cross-realm IN_PLACE sanitization leaves executable markup intact via realm-bound `instanceof` checks

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

DOMPurify is a DOM-only cross-site scripting sanitizer for HTML, MathML, and SVG. Prior to 3.4.6, DOMPurify.sanitize(node, { IN_PLACE: true }) accepted same-origin foreign-realm DOM nodes while follow-on checks used parent-realm constructors, causing instanceof checks for forms, named node maps, document fragments, and elements to fail and skip clobber, template-content, and shadow-DOM sanitization branches so executable markup could survive. This issue is fixed in version 3.4.6.

CVSS 6.1 · Media · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • dompurify

    Versiones
    • < 3.4.6: Afectada

    Sin corrección publicada

  • node-dompurify Debian:12

    Versiones
    • 2.4.1+dfsg+~2.4.0-1
    • 2.4.1+dfsg+~2.4.0-2
    • 2.4.1+dfsg+~2.4.0-2+deb12u1
    • 3.0.9+dfsg+~3.0.5-1
    • 3.1.6+dfsg+~3.0.5-1
    • 3.1.7+dfsg+~3.0.5-1
    • 3.1.7+dfsg+~3.0.5-2
    • 3.2.5+dfsg-1
    • 3.3.2+dfsg-1
    • 3.3.3+dfsg-1
    • 3.3.3+dfsg-2
    • 3.4.1+dfsg-1
    • 3.4.12+dfsg-1
    • 3.4.13+dfsg-1
    • 3.4.13+dfsg-2
    • 3.4.16+dfsg-1
    • 3.4.2+dfsg-1
    • 3.4.5+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dompurify Debian:13

    Versiones
    • 3.1.7+dfsg+~3.0.5-2
    • 3.2.5+dfsg-1
    • 3.3.2+dfsg-1
    • 3.3.3+dfsg-1
    • 3.3.3+dfsg-2
    • 3.4.1+dfsg-1
    • 3.4.12+dfsg-1
    • 3.4.13+dfsg-1
    • 3.4.13+dfsg-2
    • 3.4.16+dfsg-1
    • 3.4.2+dfsg-1
    • 3.4.5+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dompurify Debian:14

    Versiones
    • 3.1.7+dfsg+~3.0.5-2
    • 3.2.5+dfsg-1
    • 3.3.2+dfsg-1
    • 3.3.3+dfsg-1
    • 3.3.3+dfsg-2
    • 3.4.1+dfsg-1
    • 3.4.2+dfsg-1
    • 3.4.5+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.4.12+dfsg-1

    Actualiza a 3.4.12+dfsg-1

  • dompurify npm

    Intervalos de versiones afectados
    • SEMVER: < 3.4.6

    Actualiza a 3.4.6

  • dompurify.js Ubuntu:16.04:LTS

    Versiones
    • 0.7.3~dfsg1-1
    • 0.7.3~dfsg1-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dompurify.js Ubuntu:18.04:LTS

    Versiones
    • 0.9.0~dfsg1-1
    • 0.9.0~dfsg1-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dompurify Ubuntu:22.04:LTS

    Versiones
    • 2.3.0+dfsg-2
    • 2.3.3+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dompurify Ubuntu:24.04:LTS

    Versiones
    • 2.4.1+dfsg+~2.4.0-1
    • 3.0.9+dfsg+~3.0.5-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dompurify Ubuntu:26.10

    Versiones
    • 3.3.3+dfsg-1
    • 3.4.2+dfsg-1
    • 3.4.5+dfsg-1
    • 3.4.12+dfsg-1
    • 3.4.13+dfsg-1
    • 3.4.13+dfsg-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-dompurify Ubuntu:26.04:LTS

    Versiones
    • 3.1.7+dfsg+~3.0.5-2
    • 3.3.3+dfsg-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →