- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116804
DOMPurify'da gölge kök içeriğinde SAFE_FOR_TEMPLATES atlatılması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
DOMPurify 3.4.4 sürümünden 3.4.17 sürümünün öncesine kadar olan sürümlerde, SAFE_FOR_TEMPLATES korumasını atlatmaya olanak tanıyan bir sorun bulunmaktadır. Bu sorun, RETURN_DOM, RETURN_DOM_FRAGMENT veya IN_PLACE modları kullanıldığında saldırganların eklenmiş gölge köklerinde şablon ifadelerini korumasına izin verir. Saldırganlar, izin verilmeyen öğelerle ayrılmış metin düğümleri arasına ifadeleri bölebilir; bu düğümler öğeler kaldırıldıktan sonra birleşir ve sonraki şablon motorları tarafından değerlendirilerek siteler arası betik çalıştırma (XSS) saldırısına yol açabilir.
Kaynaktaki açıklama (İngilizce)
DOMPurify from 3.4.4 before 3.4.17 contains a SAFE_FOR_TEMPLATES bypass that lets attackers preserve template expressions in attached shadow roots when using RETURN_DOM, RETURN_DOM_FRAGMENT, or IN_PLACE modes. Attackers can split expressions across text nodes separated by disallowed elements, which merge after removal and are evaluated by downstream template engines for cross-site scripting.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| cure53 DOMPurify | ≥ 3.4.4, < 3.4.17 | 3.4.17 |
| 3.4.17 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.