JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024803 DOMPurifyは、HTML、MathML、およびSVG用のDOM専用クロスサイトスクリプティングサニタイザーです。バージョン3.4.7以前では、DOMPurifyのIN_PLACEサニタイゼーションが＜template＞.content内の要素に付随するシャドウコンテンツをスキップする可能性がありました。そのため、攻撃者が制御するマークアップ（イベントハンドラ、JavaScript URL、スクリプトなど）をサニタイズされたテンプレートからクローンして挿入した際に、該当のマークアップが残存して実行される恐れがありました。この問題はバージョン3.4.7で修正されています。 cpe:/a:cure53:dompurify https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024803.html Common Vulnerabilities and Exposures (CVE) CVE-2026-49978 https://www.cve.org/CVERecord?id=CVE-2026-49978 National Vulnerability Database (NVD) CVE-2026-49978 https://nvd.nist.gov/vuln/detail/CVE-2026-49978 GitHub DOMPurify IN_PLACE Sanitization Bypass via Attached Shadow Root Inside <template>.content Advisory cure53/DOMPurify GitHub https://github.com/cure53/DOMPurify/security/advisories/GHSA-rp9w-3fw7-7cwq JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 関連文書 Release DOMPurify 3.4.7 cure53/DOMPurify GitHub https://github.com/cure53/DOMPurify/releases/tag/3.4.7 関連文書 release: 3.4.7 (#1414) cure53/DOMPurify@ca30f07 GitHub https://github.com/cure53/DOMPurify/commit/ca30f070c360df162a3e3848e80e6fd3c9e74bff 2026-07-23T10:41:38+09:00 2026-07-23T10:41:38+09:00