anonhaven
Ad

CVE-2026-109345

MEDIUM CVSS 4.0: 5,1 EPSS 0.25%
Обновлено 16 октября 2026
Payload
Параметр Значение
CVSS 5,1 (MEDIUM)
Уязвимые версии до 3.4.16
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик Payload
Публичный эксплойт Нет

DOMPurify before 3.4.16 contains a cross-site scripting vulnerability that allows attackers to bypass sanitization because IN_PLACE mode returns a force-removed style element whose text content still carries markup. Attackers can supply a style element containing a closing style tag and an img onerror payload, which executes script when the application serializes and re-parses the returned node.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Активное
Нужно действие пользователя

Последствия

Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Тип уязвимости (CWE)

CWE-79 Cross-Site Scripting (XSS) (Межсайтовый скриптинг (XSS))

Ссылки 2

https://github.com/cure53/DOMPurify/security/advisories/GHSA-6688-9rhm-gjv2
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/dompurify-before-3.4.16-xss-via-in-place-r…
disclosure@vulncheck.com
Share Post Share Share Share

Связанные уязвимости

CVE-2026-115892

Payload

5,7

CVE-2026-112333

Payload

5,1

CVE-2026-93638

Payload

6,1

CVE-2026-57144

Payload

8,8

CVE-2026-59188

Payload

5,4