CVE-2026-47423
ثغرة XSS في DOMPurify عبر إعادة استنساخ selectedcontent
- تم النشر
- 14/07/2026
- محدث
- 16/07/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 28/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 33.3%
- تاريخ الموديل
- 11/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
DOMPurify هو أداة تعقيم لسيناريوهات cross-site scripting تعتمد على DOM فقط لـ HTML وMathML وSVG. في الإصدار 3.4.4، سمح DOMPurify بمحتوى `selectedcontent` افتراضيًا، مما سمح للمتصفحات بإعادة استنساخ حمولة XSS بعد التعقيم بحيث يتم إرجاع الترميز غير المعقّم داخل `<selectedcontent>`. تم إصلاح هذه المشكلة في الإصدار 3.4.5.
المصادر
ماسح ضوئي مبني على Go يكتشف تجاوز أداة تنقية DOMPurify (CVE-2026-47423) عبر بصمة المنطق على حزم JavaScript المصغّرة في بيئة الإنتاج، لتحديد تخطيطات الوسوم المسموحة غير المطبَّق عليها التصحيح.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.