- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116803
DOMPurify'de IN_PLACE hook'u ile ayrılan alt ağaçlarda DOM tabanlı XSS açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
DOMPurify 3.4.17 öncesi sürümler, bir IN_PLACE hook'u üst veya kardeş düğümü kaldırdığında olay işleyicilerinin etkin kalmasına izin veren bir siteler arası betik çalıştırma (XSS) açığı içerir. Saldırganın işaretlemesi içindeki ayrılmış alt ağaçlar hiçbir zaman taranmaz veya temizlenmez; bu nedenle img onerror gibi işleyiciler sanitize fonksiyonu döndükten sonra da tetiklenir ve DOM tabanlı XSS'e neden olur.
Kaynaktaki açıklama (İngilizce)
DOMPurify before 3.4.17 contains a cross-site scripting vulnerability that allows attackers to keep event handlers armed when an IN_PLACE hook removes a parent or sibling node. Attacker markup in detached subtrees is never walked or neutralized, so handlers like img onerror fire after sanitize() returns, causing DOM XSS.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cure53 DOMPurify | < 3.4.17 | 3.4.17 |
| 3.4.17 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.