JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024804 DOMPurifyは、HTML、MathML、およびSVGに対応したDOM専用のクロスサイトスクリプティングサニタイザーです。バージョン3.4.6以前では、DOMPurify.sanitize(root, { IN_PLACE: true })が、攻撃者に制御された＜form＞ルート上で、子孫の名前が_isClobberedによってチェックされるプロパティを上書きした場合に、イベントハンドラー属性を保持してしまう可能性がありました。これは、_forceRemoveが親を持たないルートに対してnoop動作となり、_sanitizeAttributesが早期に終了していたために発生していました。この問題はバージョン3.4.6で修正されました。 cpe:/a:cure53:dompurify https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024804.html Common Vulnerabilities and Exposures (CVE) CVE-2026-49459 https://www.cve.org/CVERecord?id=CVE-2026-49459 National Vulnerability Database (NVD) CVE-2026-49459 https://nvd.nist.gov/vuln/detail/CVE-2026-49459 GitHub IN_PLACE mode preserves attributes of a clobbered root element, allowing XSS via attacker-controlled root DOM Advisory cure53/DOMPurify GitHub https://github.com/cure53/DOMPurify/security/advisories/GHSA-r47g-fvhr-h676 JVNDB CWE-693 https://cwe.mitre.org/data/definitions/693.html JVNDB CWE-1321 https://cwe.mitre.org/data/definitions/1321.html JVNDB CWE-79 https://jvndb.jvn.jp/ja/cwe/CWE-79.html 関連文書 release: 3.4.6 (#1394) cure53/DOMPurify@bb7739e GitHub https://github.com/cure53/DOMPurify/commit/bb7739e5bccec7e1ab3dae3f3e42d02db3acaaae 関連文書 Release DOMPurify 3.4.6 cure53/DOMPurify GitHub https://github.com/cure53/DOMPurify/releases/tag/3.4.6 2026-07-23T10:41:41+09:00 2026-07-23T10:41:41+09:00