CVE-2026-65913
Publiée le 2026-07-23 · Dernière modification le 2026-10-24
Les applications utilisant DOMPurify (versions antérieures à 3.3.2) en mode « USE_PROFILES » sont susceptibles de subir un contournement de leurs filtres de nettoyage HTML. Un attaquant distant non authentifié peut déclencher cette faille en incitant un utilisateur à visiter une page malveillante, permettant ainsi à l'attaquant d'exécuter du JavaScript arbitraire dans le navigateur de la victime via une faille de Cross-Site Scripting (XSS). Comme cela nécessite une interaction de l'utilisateur, il ne s'agit pas d'une compromission directe du serveur, mais d'une attaque côté client.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
DOMPurify before 3.3.2 contains a prototype pollution vulnerability in USE_PROFILES mode that allows attackers to bypass attribute filtering by polluting Array.prototype properties. Attackers can set Array.prototype properties like onclick to true, causing DOMPurify to accept event handlers as allowlisted attributes and resulting in DOM-based XSS when sanitized markup is rendered.