JVNDB-2026-025686

cure53のDOMPurifyにおけるクロスサイトスクリプティングの脆弱性

DOMPurifyのバージョン3.0.0以上3.4.8未満では、SAFE_FOR_TEMPLATESとDOM出力モード（RETURN_DOM、RETURN_DOM_FRAGMENT、またはIN_PLACE）を組み合わせて設定した場合、＜template＞要素の内容内にあるテンプレート式（例：${evil}、{{evil}}、＜%evil%＞）を除去できません。最終的な正規化／スクラブ処理（_scrubTemplateExpressions）はNodeIteratorとnode.normalize()を使用しますが、template.content内には降りていかないため、隣接するテキストノードが結合した後にのみ形成される式がサニタイズをすり抜けてしまいます。これによりSAFE_FOR_TEMPLATESが回避され、攻撃者が提供した式が下流のテンプレートエンジンで評価される可能性があります。文字列出力経路には影響を与えません。

cure53

• DOMPurify 3.0.0 以上 3.4.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SAFE_FOR_TEMPLATES bypass - template expressions survive sanitization inside <template> content when using DOM output modes  Advisory  cure53/DOMPurify  GitHub

VulnCheck

• VulnCheck : DOMPurify before 3.4.8 Template Expression Injection via RETURN_DOM  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-65900

1. National Vulnerability Database (NVD) : CVE-2026-65900

• [2026年07月30日]
    掲載