CVE-2026-65901
CVE-2026-65901 · DOMPurify 3.4.6 Cross-Site Scripting via IN_PLACE nodeName
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
DOMPurify through 3.4.6 contains a cross-site scripting vulnerability in IN_PLACE mode that trusts attacker-controlled nodeName on live non-form nodes. Attackers can supply hostile live DOM objects with real script children whose observable nodeName is clobbered to appear as allowed elements, causing scripts to execute when the sanitized tree is inserted into a live document.
CVSS 5.1 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · node
Produits et versions concernés
dompurify
- Versions du logiciel
- ≥ 0, ≤ 3.4.6: Concernée (semver)
Aucun correctif publié
node-dompurify Debian:12
- Versions du logiciel
- 2.4.1+dfsg+~2.4.0-1
- 2.4.1+dfsg+~2.4.0-2
- 2.4.1+dfsg+~2.4.0-2+deb12u1
- 3.0.9+dfsg+~3.0.5-1
- 3.1.6+dfsg+~3.0.5-1
- 3.1.7+dfsg+~3.0.5-1
- 3.1.7+dfsg+~3.0.5-2
- 3.2.5+dfsg-1
- 3.3.2+dfsg-1
- 3.3.3+dfsg-1
- 3.3.3+dfsg-2
- 3.4.1+dfsg-1
- 3.4.12+dfsg-1
- 3.4.13+dfsg-1
- 3.4.13+dfsg-2
- 3.4.16+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-dompurify Debian:13
- Versions du logiciel
- 3.1.7+dfsg+~3.0.5-2
- 3.2.5+dfsg-1
- 3.3.2+dfsg-1
- 3.3.3+dfsg-1
- 3.3.3+dfsg-2
- 3.4.1+dfsg-1
- 3.4.12+dfsg-1
- 3.4.13+dfsg-1
- 3.4.13+dfsg-2
- 3.4.16+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-dompurify Debian:14
- Versions du logiciel
- 3.1.7+dfsg+~3.0.5-2
- 3.2.5+dfsg-1
- 3.3.2+dfsg-1
- 3.3.3+dfsg-1
- 3.3.3+dfsg-2
- 3.4.1+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: < 3.4.12+dfsg-1
Mettez à jour vers 3.4.12+dfsg-1
dompurify npm
- Plages de versions concernées
- SEMVER: ≤ 3.4.6
Aucun correctif publié
node-dompurify Ubuntu:22.04:LTS
- Versions du logiciel
- 2.3.0+dfsg-2
- 2.3.3+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-dompurify Ubuntu:24.04:LTS
- Versions du logiciel
- 2.4.1+dfsg+~2.4.0-1
- 3.0.9+dfsg+~3.0.5-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-dompurify Ubuntu:26.10
- Versions du logiciel
- 3.3.3+dfsg-1
- 3.4.2+dfsg-1
- 3.4.5+dfsg-1
- 3.4.12+dfsg-1
- 3.4.13+dfsg-1
- 3.4.13+dfsg-2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
node-dompurify Ubuntu:26.04:LTS
- Versions du logiciel
- 3.1.7+dfsg+~3.0.5-2
- 3.3.3+dfsg-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié