DOMPurify güvenlik açıklarıDOMPurify: bilinen açıklar ve güvenli sürümler

Dallara göre açıklar ve güvenli sürüm

Güvenli sürüm: o dalda bu sürüm ve sonrası (dalın son sürümü biliniyorsa ona kadar) bilinen hiçbir kaydın aralığına girmez. Adaylar yalnızca kayıtların kendi düzeltme sürümleri ve dalın son sürümüdür; "Düzeltme yok" dalı terk etmek gerektiği anlamına gelir.

Destek tarihleri yalnızca endoflife.date'te ürünü olan kütüphanelerde gösterilir.

Kayıtlar

En yeniden eskiye. Aralık kaydın kendi verisidir; birden çok aralık dal başına ayrı düzeltmeyi gösterir.

• GHSA-mrv2-3pqr-j5jr2026-10-22

  DOMPurify IN_PLACE: hook that removes a parent or sibling leaves the detached subtree's event handlers armed (incomplete fix for GHSA-p98j-92pf-mc4p)

  Etkilenen sürümler: < 3.4.17

  yüksek

  Düzeltme: 3.4.17

• GHSA-cg2g-xh64-v4q72026-10-22

  DOMPurify SAFE_FOR_TEMPLATES bypass: split template expressions survive in attached shadow root content on DOM output modes

  Etkilenen sürümler: >= 3.4.4, < 3.4.17

  kritik

  Düzeltme: 3.4.17

• GHSA-c6gr-qvv4-5v3f2026-10-22

  DOMPurify: SMIL attributeName=href guard is skipped when PARSER_MEDIA_TYPE is application/xhtml+xml

  Etkilenen sürümler: < 3.4.17

  düşük

  Düzeltme: 3.4.17

• CVE-2026-1093452026-10-12

  DOMPurify before 3.4.16 XSS via IN_PLACE Returned Rawtext Root

  Etkilenen sürümler: < 3.4.16

  orta 5.1

  Düzeltme: 3.4.16

• CVE-2026-1093442026-10-12

  DOMPurify from 3.4.13 before 3.4.16 DOM XSS via IN_PLACE afterSanitize Hooks

  Etkilenen sürümler: >= 3.4.13, < 3.4.16

  orta 5.1

  Düzeltme: 3.4.16

• CVE-2026-758382026-08-18

  DOMPurify before 3.4.13 Cross-Site Scripting via IN_PLACE hook

  Etkilenen sürümler: < 3.4.13

  orta 5.1

  Düzeltme: 3.4.13

• CVE-2026-660102026-07-24

  DOMPurify before 3.4.12 Hook Bypass via CUSTOM_ELEMENT_HANDLING

  Etkilenen sürümler: < 3.4.12

  orta 5.1

  Düzeltme: 3.4.12

• CVE-2026-659142026-07-23

  DOMPurify before 3.3.2 Mutation XSS via Re-Contextualization

  Etkilenen sürümler: < 3.3.2

  orta 5.3

  Düzeltme: 3.3.2

• CVE-2026-659132026-07-23

  DOMPurify before 3.3.2 Prototype Pollution via USE_PROFILES

  Etkilenen sürümler: < 3.3.2

  orta 5.1

  Düzeltme: 3.3.2

• CVE-2026-659122026-07-23

  DOMPurify before 3.3.2 URI Validation Bypass via ADD_ATTR

  Etkilenen sürümler: < 3.3.2

  orta 5.1

  Düzeltme: 3.3.2

• CVE-2026-659032026-07-23

  DOMPurify before 3.4.0 ADD_TAGS Function Bypasses FORBID_TAGS

  Etkilenen sürümler: < 3.4.0

  orta 5.1

  Düzeltme: 3.4.0

• CVE-2026-659022026-07-23

  DOMPurify before 3.4.7 Hook Mutation Pollution via allowedTags

  Etkilenen sürümler: < 3.4.7

  orta 5.3

  Düzeltme: 3.4.7

• CVE-2026-659012026-07-23

  DOMPurify 3.4.6 Cross-Site Scripting via IN_PLACE nodeName

  Etkilenen sürümler: <= 3.4.6 · < 3.4.7

  orta 5.1

  Düzeltme: 3.4.7

• CVE-2026-659002026-07-23

  DOMPurify before 3.4.8 Template Expression Injection via RETURN_DOM

  Etkilenen sürümler: >= 3.0.0, < 3.4.8

  orta 5.1

  Düzeltme: 3.4.8

• CVE-2026-658992026-07-23

  DOMPurify before 3.4.9 Trusted Types Policy State Contamination

  Etkilenen sürümler: < 3.4.9

  orta 5.1

  Düzeltme: 3.4.9

• CVE-2026-658982026-07-23

  DOMPurify before 3.4.11 Permanent Attribute Allowlist Pollution via setConfig

  Etkilenen sürümler: < 3.4.11

  orta 5.1

  Düzeltme: 3.4.11

• CVE-2026-499782026-07-14

  DOMPurify IN_PLACE Sanitization Bypass via Attached Shadow Root Inside <template>.content

  Etkilenen sürümler: < 3.4.7

  orta 6.3

  Düzeltme: 3.4.7

• CVE-2026-494592026-07-14

  DOMPurify: IN_PLACE mode preserves attributes of a clobbered root element, allowing XSS via attacker-controlled root DOM

  Etkilenen sürümler: < 3.4.6

  orta 6.1

  Düzeltme: 3.4.6

• CVE-2026-494582026-07-14

  DOMPurify: Cross-realm IN_PLACE sanitization leaves executable markup intact via realm-bound `instanceof` checks

  Etkilenen sürümler: < 3.4.6

  orta 6.1

  Düzeltme: 3.4.6

• CVE-2026-47423istismar kodu var2026-07-14

  DOMPurify XSS via `selectedcontent` re-clone

  Etkilenen sürümler: >= 3.4.4, < 3.4.5

  yüksek 8.2

  Düzeltme: 3.4.5

• CVE-2026-412402026-04-23

  DOMPurify: FORBID_TAGS bypassed by function-based ADD_TAGS predicate (asymmetry with FORBID_ATTR fix)

  Etkilenen sürümler: < 3.4.0

  orta 6.0

  Düzeltme: 3.4.0

• CVE-2026-412392026-04-23

  DOMPurify has a SAFE_FOR_TEMPLATES bypass in RETURN_DOM mode

  Etkilenen sürümler: >= 1.0.10, < 3.4.0

  orta 6.8

  Düzeltme: 3.4.0

• CVE-2026-412382026-04-23

  DOMPurify: Prototype Pollution to XSS Bypass via CUSTOM_ELEMENT_HANDLING Fallback

  Etkilenen sürümler: >= 3.0.1, < 3.4.0

  orta 6.9

  Düzeltme: 3.4.0

• CVE-2026-05402026-03-03

  DOMPurify XSS via Missing Rawtext Elements in SAFE_FOR_XML

  Etkilenen sürümler: >= 3.1.3, < 3.3.2 · >= 2.5.3, < 2.5.9

  orta 5.3

  Düzeltme: 2.5.9, 3.3.2

• CVE-2025-155992026-03-03

  DOMPurify XSS via Textarea Rawtext Bypass in SAFE_FOR_XML

  Etkilenen sürümler: >= 3.1.3, < 3.2.7 · >= 2.5.3, <= 2.5.8 · >= 2.5.3, < 2.5.9

  orta 5.1

  Düzeltme: 2.5.9, 3.2.7

• CVE-2025-267912025-02-14

  DOMPurify before 3.2.4 has an incorrect template literal regular expression, sometimes leading to mutation cross-site scripting (mXSS).

  Etkilenen sürümler: < 3.2.4

  orta 6.1

  Düzeltme: 3.2.4

• CVE-2024-48910istismar kodu var2024-10-31

  DOMPurify vulnerable to tampering by prototype polution

  Etkilenen sürümler: < 2.4.2

  kritik 9.8

  Düzeltme: 2.4.2

  EPSS %1,1

• CVE-2024-47875istismar kodu var2024-10-11

  DOMPurify nesting-based mXSS

  Etkilenen sürümler: < 2.5.0 · >= 3.0.0, < 3.1.3

  orta 6.1

  Düzeltme: 2.5.0, 3.1.3

  EPSS %1,1

• CVE-2024-458012024-09-16

  Tampering by prototype polution in DOMPurify

  Etkilenen sürümler: < 2.5.4 · >= 3.0.0, < 3.1.3

  orta 6.1

  Düzeltme: 2.5.4, 3.1.3

• CVE-2019-251552023-11-06

  DOMPurify before 1.0.11 allows reverse tabnabbing in demos/hooks-target-blank-demo.html because links lack a 'rel="noopener noreferrer"' att

  Etkilenen sürümler: < 1.0.11

  orta 6.1

  Düzeltme: 1.0.11

• CVE-2020-268702020-10-07

  Cure53 DOMPurify before 2.0.17 allows mutation XSS.

  Etkilenen sürümler: < 2.0.17

  orta 6.1

  Düzeltme: 2.0.17

  EPSS %4,8

• GHSA-mjjq-c88q-qhr62020-09-03

  Cross-Site Scripting in dompurify

  Etkilenen sürümler: < 2.0.7

  kritik

  Düzeltme: 2.0.7

• CVE-2019-167282019-09-24

  DOMPurify before 2.0.1 allows XSS because of innerHTML mutation XSS (mXSS) for an SVG element or a MATH element, as demonstrated by Chrome a

  Etkilenen sürümler: < 2.0.3

  orta 6.1

  Düzeltme: 2.0.3

  EPSS %1,4

• CVE yok

  Fixed a new MathML-based bypass submitted by PewGrand. Fixed a new SVG-related bypass submitted by SecurityMB

  Etkilenen sürümler: < 2.2.4

  düşük

  Düzeltme: 2.2.4

• CVE yok

  Fixed an mXSS issue reported

  Etkilenen sürümler: < 2.2.3

  düşük

  Düzeltme: 2.2.3

• CVE yok

  Fixed an mXSS bypass dropped on us publicly via

  Etkilenen sürümler: < 2.2.2

  düşük

  Düzeltme: 2.2.2

• CVE yok

  Fix a possible XSS in Chrome that is hidden behind #enable-experimental-web-platform-features

  Etkilenen sürümler: < 2.2.0

  düşük

  Düzeltme: 2.2.0

• CVE yok

  Fixed several possible mXSS patterns, thanks @hackvertor

  Etkilenen sürümler: < 2.1.1

  düşük

  Düzeltme: 2.1.1

• CVE yok

  Fixed an mXSS-based bypass caused by nested forms inside MathML

  Etkilenen sürümler: < 2.0.16

  düşük

  Düzeltme: 2.0.16

• CVE yok

  safari UXSS

  Etkilenen sürümler: < 0.9.0

  düşük

  Düzeltme: 0.9.0

• CVE yok

  safari UXSS

  Etkilenen sürümler: < 0.8.9

  düşük

  Düzeltme: 0.8.9

• CVE yok

  Etkilenen sürümler: < 0.8.6

  orta

  Düzeltme: 0.8.6

• CVE yok

  Etkilenen sürümler: < 0.6.1

  orta

  Düzeltme: 0.6.1