JVNDB-2026-025684

cure53のDOMPurifyにおける信頼境界線の違反に関する脆弱性

DOMPurifyのバージョン3.4.7以前（影響を受けるバージョンは3.4.5以下）では、sanitizeが明示的なcfg.ALLOWED_TAGS / cfg.ALLOWED_ATTR配列なしで呼び出された場合に、モジュールレベルのDEFAULT_ALLOWED_TAGSおよびDEFAULT_ALLOWED_ATTRセットへの直接参照をdata.allowedTags / data.allowedAttributesを介してuponSanitizeElementおよびuponSanitizeAttributeフックに渡します。これらのフィールドを変更するフックは、DOMPurifyインスタンスのライフタイムにわたってデフォルトの許可リストを恒久的に拡大します。その結果、以降のすべてのデフォルト設定のsanitize呼び出しは拡大されたデフォルトを継承し、攻撃者の汚染されたタグや属性名を使用するペイロードがサニタイズを潜り抜けてしまいます。removeAllHooks()、clearConfig()、および新しいcfgを渡すだけでは状態は回復せず、新たにDOMPurifyインスタンスを生成することでのみ状態をリセットできます。

cure53

• DOMPurify 3.4.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Hook mutation of `data.allowedTags` / `data.allowedAttributes` permanently pollutes `DEFAULT_ALLOWED_TAGS` / `DEFAULT_ALLOWED_ATTR`  Advisory  cure53/DOMPurify  GitHub

VulnCheck

• VulnCheck : DOMPurify before 3.4.7 Hook Mutation Pollution via allowedTags  | Advisories | VulnCheck

1. 信頼境界線の違反(CWE-501) [その他]

1. CVE-2026-65902

1. National Vulnerability Database (NVD) : CVE-2026-65902
2. 関連文書 : fix: added more checks for clobbering when IN_PLACE is used (#1391)  cure53/DOMPurify@7996f1d  GitHub

• [2026年07月30日]
    掲載