Уязвимости DOMPurifyDOMPurify: известные уязвимости и безопасные версии

Уязвимости и безопасная версия по веткам

Безопасная версия: в этой ветке она и все следующие (до последней версии ветки, если она известна) не попадают ни в один известный диапазон. Кандидаты — только версии исправлений из самих записей и последняя версия ветки; «Исправления нет» означает, что с ветки нужно уходить.

Даты поддержки показаны только для библиотек, которые отслеживает endoflife.date.

Записи

Сначала новые. Диапазоны взяты из самой записи; несколько диапазонов означают отдельные исправления для веток.

• CVE-2026-1168042026-10-27

  DOMPurify from 3.4.4 before 3.4.17 contains a SAFE_FOR_TEMPLATES bypass that lets attackers preserve template expressions in attached shadow

  Затронутые версии: >= 3.4.4, < 3.4.17

  средняя 5.1

  Исправлено в: 3.4.17

• CVE-2026-1168032026-10-27

  DOMPurify before 3.4.17 contains a cross-site scripting vulnerability that allows attackers to keep event handlers armed when an IN_PLACE ho

  Затронутые версии: < 3.4.17

  средняя 5.1

  Исправлено в: 3.4.17

• CVE-2026-1168022026-10-27

  DOMPurify before 3.4.17 contains a cross-site scripting vulnerability that allows attackers to bypass the SMIL attributeName=href guard when

  Затронутые версии: < 3.4.17

  средняя 5.1

  Исправлено в: 3.4.17

• CVE-2026-1093452026-10-12

  DOMPurify before 3.4.16 XSS via IN_PLACE Returned Rawtext Root

  Затронутые версии: < 3.4.16

  средняя 5.1

  Исправлено в: 3.4.16

• CVE-2026-1093442026-10-12

  DOMPurify from 3.4.13 before 3.4.16 DOM XSS via IN_PLACE afterSanitize Hooks

  Затронутые версии: >= 3.4.13, < 3.4.16

  средняя 5.1

  Исправлено в: 3.4.16

• CVE-2026-758382026-08-18

  DOMPurify before 3.4.13 Cross-Site Scripting via IN_PLACE hook

  Затронутые версии: < 3.4.13

  средняя 5.1

  Исправлено в: 3.4.13

• CVE-2026-660102026-07-24

  DOMPurify before 3.4.12 Hook Bypass via CUSTOM_ELEMENT_HANDLING

  Затронутые версии: < 3.4.12

  средняя 5.1

  Исправлено в: 3.4.12

• CVE-2026-659142026-07-23

  DOMPurify before 3.3.2 Mutation XSS via Re-Contextualization

  Затронутые версии: < 3.3.2

  средняя 5.3

  Исправлено в: 3.3.2

• CVE-2026-659132026-07-23

  DOMPurify before 3.3.2 Prototype Pollution via USE_PROFILES

  Затронутые версии: < 3.3.2

  средняя 5.1

  Исправлено в: 3.3.2

• CVE-2026-659122026-07-23

  DOMPurify before 3.3.2 URI Validation Bypass via ADD_ATTR

  Затронутые версии: < 3.3.2

  средняя 5.1

  Исправлено в: 3.3.2

• CVE-2026-659032026-07-23

  DOMPurify before 3.4.0 ADD_TAGS Function Bypasses FORBID_TAGS

  Затронутые версии: < 3.4.0

  средняя 5.1

  Исправлено в: 3.4.0

• CVE-2026-659022026-07-23

  DOMPurify before 3.4.7 Hook Mutation Pollution via allowedTags

  Затронутые версии: < 3.4.7

  средняя 5.3

  Исправлено в: 3.4.7

• CVE-2026-659012026-07-23

  DOMPurify 3.4.6 Cross-Site Scripting via IN_PLACE nodeName

  Затронутые версии: <= 3.4.6 · < 3.4.7

  средняя 5.1

  Исправлено в: 3.4.7

• CVE-2026-659002026-07-23

  DOMPurify before 3.4.8 Template Expression Injection via RETURN_DOM

  Затронутые версии: >= 3.0.0, < 3.4.8

  средняя 5.1

  Исправлено в: 3.4.8

• CVE-2026-658992026-07-23

  DOMPurify before 3.4.9 Trusted Types Policy State Contamination

  Затронутые версии: < 3.4.9

  средняя 5.1

  Исправлено в: 3.4.9

• CVE-2026-658982026-07-23

  DOMPurify before 3.4.11 Permanent Attribute Allowlist Pollution via setConfig

  Затронутые версии: < 3.4.11

  средняя 5.1

  Исправлено в: 3.4.11

• CVE-2026-499782026-07-14

  DOMPurify IN_PLACE Sanitization Bypass via Attached Shadow Root Inside <template>.content

  Затронутые версии: < 3.4.7

  средняя 6.3

  Исправлено в: 3.4.7

• CVE-2026-494592026-07-14

  DOMPurify: IN_PLACE mode preserves attributes of a clobbered root element, allowing XSS via attacker-controlled root DOM

  Затронутые версии: < 3.4.6

  средняя 6.1

  Исправлено в: 3.4.6

• CVE-2026-494582026-07-14

  DOMPurify: Cross-realm IN_PLACE sanitization leaves executable markup intact via realm-bound `instanceof` checks

  Затронутые версии: < 3.4.6

  средняя 6.1

  Исправлено в: 3.4.6

• CVE-2026-47423есть код эксплойта2026-07-14

  DOMPurify XSS via `selectedcontent` re-clone

  Затронутые версии: >= 3.4.4, < 3.4.5

  высокая 8.2

  Исправлено в: 3.4.5

• CVE-2026-412402026-04-23

  DOMPurify: FORBID_TAGS bypassed by function-based ADD_TAGS predicate (asymmetry with FORBID_ATTR fix)

  Затронутые версии: < 3.4.0

  средняя 6.0

  Исправлено в: 3.4.0

• CVE-2026-412392026-04-23

  DOMPurify has a SAFE_FOR_TEMPLATES bypass in RETURN_DOM mode

  Затронутые версии: >= 1.0.10, < 3.4.0

  средняя 6.8

  Исправлено в: 3.4.0

• CVE-2026-412382026-04-23

  DOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING Fallback

  Затронутые версии: >= 3.0.1, < 3.4.0

  средняя 6.9

  Исправлено в: 3.4.0

• CVE-2026-05402026-03-03

  DOMPurify XSS via Missing Rawtext Elements in SAFE_FOR_XML

  Затронутые версии: >= 3.1.3, < 3.3.2 · >= 2.5.3, < 2.5.9

  средняя 5.3

  Исправлено в: 2.5.9, 3.3.2

• CVE-2025-155992026-03-03

  DOMPurify XSS via Textarea Rawtext Bypass in SAFE_FOR_XML

  Затронутые версии: >= 3.1.3, < 3.2.7 · >= 2.5.3, <= 2.5.8 · >= 2.5.3, < 2.5.9

  средняя 5.1

  Исправлено в: 2.5.9, 3.2.7

• CVE-2025-267912025-02-14

  DOMPurify before 3.2.4 has an incorrect template literal regular expression, sometimes leading to mutation cross-site scripting (mXSS).

  Затронутые версии: < 3.2.4

  средняя 6.1

  Исправлено в: 3.2.4

• CVE-2024-48910есть код эксплойта2024-10-31

  DOMPurify vulnerable to tampering by prototype polution

  Затронутые версии: < 2.4.2

  критическая 9.8

  Исправлено в: 2.4.2

  EPSS 1,1%

• CVE-2024-47875есть код эксплойта2024-10-11

  DOMPurify nesting-based mXSS

  Затронутые версии: < 2.5.0 · >= 3.0.0, < 3.1.3

  средняя 6.1

  Исправлено в: 2.5.0, 3.1.3

  EPSS 1,1%

• CVE-2024-458012024-09-16

  Tampering by prototype polution in DOMPurify

  Затронутые версии: < 2.5.4 · >= 3.0.0, < 3.1.3

  средняя 6.1

  Исправлено в: 2.5.4, 3.1.3

• CVE-2019-251552023-11-06

  DOMPurify before 1.0.11 allows reverse tabnabbing in demos/hooks-target-blank-demo.html because links lack a 'rel="noopener noreferrer"' att

  Затронутые версии: < 1.0.11

  средняя 6.1

  Исправлено в: 1.0.11

• CVE-2020-268702020-10-07

  Cure53 DOMPurify before 2.0.17 allows mutation XSS.

  Затронутые версии: < 2.0.17

  средняя 6.1

  Исправлено в: 2.0.17

  EPSS 4,8%

• GHSA-mjjq-c88q-qhr62020-09-03

  Cross-Site Scripting in dompurify

  Затронутые версии: < 2.0.7

  критическая

  Исправлено в: 2.0.7

• CVE-2019-167282019-09-24

  DOMPurify before 2.0.1 allows XSS because of innerHTML mutation XSS (mXSS) for an SVG element or a MATH element, as demonstrated by Chrome a

  Затронутые версии: < 2.0.3

  средняя 6.1

  Исправлено в: 2.0.3

  EPSS 1,4%

• без CVE

  Fixed a new MathML-based bypass submitted by PewGrand. Fixed a new SVG-related bypass submitted by SecurityMB

  Затронутые версии: < 2.2.4

  низкая

  Исправлено в: 2.2.4

• без CVE

  Fixed an mXSS issue reported

  Затронутые версии: < 2.2.3

  низкая

  Исправлено в: 2.2.3

• без CVE

  Fixed an mXSS bypass dropped on us publicly via

  Затронутые версии: < 2.2.2

  низкая

  Исправлено в: 2.2.2

• без CVE

  Fix a possible XSS in Chrome that is hidden behind #enable-experimental-web-platform-features

  Затронутые версии: < 2.2.0

  низкая

  Исправлено в: 2.2.0

• без CVE

  Fixed several possible mXSS patterns, thanks @hackvertor

  Затронутые версии: < 2.1.1

  низкая

  Исправлено в: 2.1.1

• без CVE

  Fixed an mXSS-based bypass caused by nested forms inside MathML

  Затронутые версии: < 2.0.16

  низкая

  Исправлено в: 2.0.16

• без CVE

  safari UXSS

  Затронутые версии: < 0.9.0

  низкая

  Исправлено в: 0.9.0

• без CVE

  safari UXSS

  Затронутые версии: < 0.8.9

  низкая

  Исправлено в: 0.8.9

• без CVE

  Затронутые версии: < 0.8.6

  средняя

  Исправлено в: 0.8.6

• без CVE

  Затронутые версии: < 0.6.1

  средняя

  Исправлено в: 0.6.1