FICHE CVE

CVE-2026-49459

Publiée le 2026-07-14 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les applications web utilisant des versions de DOMPurify antérieures à la 3.4.6 pour assainir le HTML sont vulnérables aux failles de cross-site scripting (XSS). Un attaquant peut contourner l'assainisseur pour exécuter du JavaScript malveillant dans le navigateur d'un utilisateur, permettant potentiellement le vol de cookies de session ou la manipulation du contenu de la page. Cela ne nécessite ni authentification ni privilèges particuliers, mais requiert que la victime interagisse avec un lien ou une page malveillante spécialement conçue.

CVSS 3.16.1 MOYENNE

Type de faiblesse

Publiée2026-07-14

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

DOMPurify is a DOM-only cross-site scripting sanitizer for HTML, MathML, and SVG. Prior to 3.4.6, DOMPurify.sanitize(root, { IN_PLACE: true }) could preserve event-handler attributes on an attacker-controlled <form> root when a descendant name clobbered properties checked by _isClobbered, because _forceRemove no-opped on the parent-less root and _sanitizeAttributes returned early. This issue is fixed in version 3.4.6.