FICHE CVE

CVE-2026-41240

Publiée le 2026-04-23 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les applications web utilisant des versions de DOMPurify antérieures à la 3.4.0 pour assainir les entrées utilisateur sont concernées. Un attaquant peut contourner les filtres de sécurité pour injecter des scripts malveillants, permettant potentiellement de voler des cookies de session ou d'effectuer des actions au nom d'autres utilisateurs. Cela nécessite que l'attaquant convainque une victime de visiter une page spécialement conçue, mais aucune authentification ni accès spécial au système n'est requis.

CVSS 4.06.0 MOYENNE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79 CWE-183

Publiée2026-04-23

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

DOMPurify is a DOM-only cross-site scripting sanitizer for HTML, MathML, and SVG. Versions prior to 3.4.0 have an inconsistency between FORBID_TAGS and FORBID_ATTR handling when function-based ADD_TAGS is used. Commit c361baa added an early exit for FORBID_ATTR at line 1214. The same fix was not applied to FORBID_TAGS. At line 1118-1123, when EXTRA_ELEMENT_HANDLING.tagCheck returns true, the short-circuit evaluation skips the FORBID_TAGS check entirely. This allows forbidden elements to survive sanitization with their attributes intact. Version 3.4.0 patches the issue.